Grafik içinden kod çalıştırma saldırılarıyla ilgili

Bir süredir Türkiye'de ve dünyada "hekır"ların ve "skript kidi"lerin rağbet gösterdiği , IEnin üstün (!) yorumlama zekası sonucu oluşan XSS açıklarına karşı bir PHP sınıfı hazırladım.

Saldırganın biri herhangi bir grafik dosyasını hex editörün biriyle açıp, genelde MIME kontrollerinde bakılan ilk birkaç karaktere kadar olan(örneğin:GIF892A) yere silip yazdıgı kodlar Internet Explorer 6′da maalesef icra ediliyor. Bu yolla JS kodları çalıştırılarak grafiğin yüklendiği yerden cookie bilgileri çalınabilir.

Betik, GD kütüphanesiyle gelen grafiği hafızasına alıyor. İçeriği düzenleyip tekrar oluşturuyor ve kaydediyor. Kayıt işlemi yapılırken arka planda zararlı olabilecek kodlar dikkate alınmıyor ve sorun kökten çözülüyor.

Bunun dışında kod düzenleme ile yapılabilecek saldırılar da bertaraf ediliyor.Örneğin, Apachenin eski versiyonlarındaki xx.php.gif gibi dosya yüklemelerinin PHP olarak yorumlanması sonucu oluşan zayıflıklarda grafiğin yeniden üretilmesi kısmında çözülüyor.

Ayrıca betiğe imza özelliği de ekledim. İsterseniz her gelen grafiği kayıt etmeden sağ alt köşeye ufak puntolarla sitenizin adını yazdırabilirsiniz. İndirmek için : secureimg.rar

İlgili Yazılar

Vty - Mysql ve Mssql için Php tabanlı Veritabanı Yönetici

pieycpi
20 Aralık 2003, 1 dakika okuma süresi

Mysql ve Mssql'i web üzerinden yönetmek kullanacağınız Vty scriptinin kullanılabilir ilk versiyonu çıktı. Vty ile mysql ve mssql database'i üzerinde istediğiniz işlemi web tabanlı olarak yapabilirsiniz.
Vty hakkında daha fazla bilgi almak ve Vty'yi download etmek için: www.kutukutu.com/vty

phpKF Sürüm 1.12 ve 1.12-seo çıktı

anonim
15 Ocak 2008, 2 dakika okuma süresi

php Kolay Forum; php ve MySQL destekli, kullanımı kolay, yönetim masası üzerinden birçok özelliği kontrol edilebilen, açık kaynaklı ve tamamen ücretsiz bir forum uygulamasıdır.

Kullanmak için tek yapmanız gereken buradan forum betiğini indirip, php ve MySQL destekli bir sunucuda kurmak.

GNUTURK PORTAL SISTEM 3G RC1 çıktı!

ulatrix
28 Nisan 2006, 1 dakika okuma süresi

Başka bir Türk tarafından hazırlanan portal sisteminin 3. versiyonu çıktı. Bir çok portal sistemi gibi entegre modüller temalar ve bloklardan oluşsa bile kendi farkını ortaya koyacak birçok değişiklik ve yeniliği de barındırmakta. Portal hakkında detayları görmek için buraya, önizleme için buraya, test edip indirmek için buraya tıklayınız.
Not: Download güvenlik sebebiyle üyelere sınırlandırılmıştır. Üye olurken açıklama kısmına download yazmanız yeterlidir.

Delphi For PHP ile Hızlıca Geliştirin

Tarık
29 Şubat 2008, 1 dakika okuma süresi

Borland'ın son kullanıcı yazılım geliştirme araçları biriminin büyük bir kısmını CodeGear' a devretmesinin ardından Delphi gibi köklü geliştirme ortamları, masaüstü uygulamalarının dışında birçok iş için kullanılmaya başlandı.(mobil donanımlar, internet uygulamaları vs.)

Bu hızlı değişim rüzgarının son bombası ise Delphi4PHP adında PHP uygulaması geliştirme ortamı.

MyObjects Zend'in PHP 5 Yarışmasında 7. Oldu

resilence
31 Ekim 2004, 3 dakika okuma süresi

MySql ve PHP 5 nesne kalıcılık kütüphanesi (Object Persistence Library) uygulaması olan MyObjects, Zend firmasının düzenlediği Php 5 programlama yarışmasında 150'den fazla uygulama içerisinde 7. oldu.

MyObjects BSD lisansı ile dağıtılan bir uygulama, yani ticari olsun ya da olmasın her türlü php uygulaması MyObjects ile geliştirilebilir ya da MyObjects entegre edilerek geliştirilebilir. Uygulamanın genel amaçları ve özellikleri şöyle: