Grafik içinden kod çalıştırma saldırılarıyla ilgili

Bir süredir Türkiye'de ve dünyada "hekır"ların ve "skript kidi"lerin rağbet gösterdiği , IEnin üstün (!) yorumlama zekası sonucu oluşan XSS açıklarına karşı bir PHP sınıfı hazırladım.

Saldırganın biri herhangi bir grafik dosyasını hex editörün biriyle açıp, genelde MIME kontrollerinde bakılan ilk birkaç karaktere kadar olan(örneğin:GIF892A) yere silip yazdıgı kodlar Internet Explorer 6′da maalesef icra ediliyor. Bu yolla JS kodları çalıştırılarak grafiğin yüklendiği yerden cookie bilgileri çalınabilir.

Betik, GD kütüphanesiyle gelen grafiği hafızasına alıyor. İçeriği düzenleyip tekrar oluşturuyor ve kaydediyor. Kayıt işlemi yapılırken arka planda zararlı olabilecek kodlar dikkate alınmıyor ve sorun kökten çözülüyor.

Bunun dışında kod düzenleme ile yapılabilecek saldırılar da bertaraf ediliyor.Örneğin, Apachenin eski versiyonlarındaki xx.php.gif gibi dosya yüklemelerinin PHP olarak yorumlanması sonucu oluşan zayıflıklarda grafiğin yeniden üretilmesi kısmında çözülüyor.

Ayrıca betiğe imza özelliği de ekledim. İsterseniz her gelen grafiği kayıt etmeden sağ alt köşeye ufak puntolarla sitenizin adını yazdırabilirsiniz. İndirmek için : secureimg.rar

İlgili Yazılar

Gelişmiş PHP ve MySQL Dersleri

anonim
23 Ocak 2008, 1 dakika okuma süresi

PHP ve MySQL konularında Türkçe kaynak sıkıntısı çeken herkesin arayış içinde olduğu şu zamanlarda Güray Süerdem kişisel blog sayfasında bilgi ve tecrübelerinden faydalanarak hazırladığı PHP ve MySQL derslerini derli ve toplu bir şekilde yayınlayarak Türkçe kaynak sıkıntısını aza indirmeyi planlamış.Ayrıca derslerin yanında bazı önemli fonksiyonlarada yer vermiş.Siteye buradan ulaşabilirsiniz.

PHP 5.2 Duyuruldu

Ono
7 Kasım 2006, 1 dakika okuma süresi

* Zend Motoruna daha iyi ve verimli performans sağlayacak yeni bellek yönetimi.
* Giriş eklentisi varsayılan olarak eklendi.
* JSON eklentisi varsayılan olarak eklendi.
* Zip eklentisi artık zip dosyaları oluşturup editleyebiliyor.

Delphi For PHP ile Hızlıca Geliştirin

Tarık
29 Şubat 2008, 1 dakika okuma süresi

Borland'ın son kullanıcı yazılım geliştirme araçları biriminin büyük bir kısmını CodeGear' a devretmesinin ardından Delphi gibi köklü geliştirme ortamları, masaüstü uygulamalarının dışında birçok iş için kullanılmaya başlandı.(mobil donanımlar, internet uygulamaları vs.)

Bu hızlı değişim rüzgarının son bombası ise Delphi4PHP adında PHP uygulaması geliştirme ortamı.

PHPLiveX: Hafif ve Kolay PHP-Ajax Kütüphanesi

anonim
1 Kasım 2006, 1 dakika okuma süresi

PHPLiveX diğer php-ajax kütüphanelerinin çoğunda olduğu gibi php fonksiyonlarınızı JavaScript ile çağırabilmenizi sağlıyor. Ancak PHPLiveX'in xajax ve sajax gibi kütüphanelerden farkı çok daha az kod yazarak ve daha basit bir şekilde kullanılabilmesi.

Dünyanın en büyük web sitesi Yahoo!, altyapısını geliştirmek için PHP`ye dönüyor

larweda
1 Kasım 2002, 2 dakika okuma süresi

www.yahoo.com altında bilinen, internet adına yapılabilecek her türlü içeriği sunan bir web ortamı olan Yahoo!, yıllardır C/C++ ile geliştirilen altyapısını C/C++ ile geliştirmeye devam etmekten vazgeçip, bundan sonraki geliştirmelerini PHP ile yapmaya karar verdiğini duyurdu. (Bunu da Slashdot`tan duydum :-)

Yahoo'nun yüksek (yüksek dediysem, zurnanın sondan kaçıncı deliği olması babında yüksek diyorum :) mühendislerinden biri olan Michael J. Radwin, PHP Con 2002`de yaptığı bir sunumla niçin PHP'yi seçtiklerini, ve bu seçimi yaparken ne aşamalardan geçtiklerini açıklamış.