Viết kịch bản chéo từ một Hình ảnh

Question

Tôi có trình chỉnh sửa văn bản đa dạng trên trang web của mình mà tôi đang cố gắng bảo vệ chống lại các cuộc tấn công XSS. Tôi nghĩ rằng tôi có khá nhiều thứ được xử lý, nhưng tôi vẫn không chắc chắn về việc phải làm gì với hình ảnh. Ngay bây giờ tôi đang sử dụng regex sau đây để xác nhận URL hình ảnh, mà tôi giả định sẽ chặn inline javascript tấn công XSS:

"https?://[-A-Za-z0-9+&@#/%?=~_|!:,.;]+" 

Những gì tôi không chắc chắn về là cách mở này rời khỏi tôi để tấn công XSS từ hình ảnh từ xa. Liên kết tới một hình ảnh bên ngoài có phải là mối đe dọa bảo mật nghiêm trọng không?

Điều duy nhất tôi có thể nghĩ là URL đã nhập tham chiếu đến tài nguyên trả về "text/javascript" làm loại MIME thay vì một số loại hình ảnh và sau đó javascript đó được thực thi.

Điều đó có khả thi không? Có bất kỳ mối đe dọa bảo mật nào khác mà tôi nên cân nhắc không?

Answer 1

Một điều đáng lo ngại là bạn có thể dễ dàng nhúng mã PHP bên trong hình ảnh và tải lên phần lớn thời gian. Điều duy nhất một cuộc tấn công sau đó sẽ phải có khả năng làm là tìm một cách để bao gồm hình ảnh. (Chỉ có mã PHP sẽ được thực hiện, phần còn lại chỉ được lặp lại). Kiểm tra kiểu MIME sẽ không giúp bạn với điều này bởi vì kẻ tấn công có thể dễ dàng tải lên một hình ảnh với đúng vài byte đầu tiên, tiếp theo là mã PHP tùy ý. (Điều này cũng đúng với mã HTML và Javascript).

Answer 2

Trong trường hợp đó, hãy xem ngữ cảnh xung quanh: người dùng chỉ cung cấp URL? Trong trường hợp đó, bạn chỉ cần xác nhận hợp lệ ngữ nghĩa của URL và kiểu MIME. Nếu người dùng cũng nhận được thẻ đầu vào của một số loại, bạn sẽ phải chắc chắn rằng họ không thể thao túng để làm bất cứ điều gì khác sau đó hiển thị hình ảnh.

Answer 3

Nếu người xem cuối ở trong khu vực được bảo vệ bằng mật khẩu và ứng dụng của bạn chứa Url bắt đầu hành động dựa trên yêu cầu GET, bạn có thể thực hiện yêu cầu thay mặt người dùng.

Ví dụ:

• src = "http://yoursite.com/deleteuser.xxx?userid=1234"
• src = "http://yoursite.com/user/delete/1234 "
• src =" http://yoursite.com/dosomethingdangerous"