Grafik içinden kod çalıştırma saldırılarıyla ilgili

Bir süredir Türkiye'de ve dünyada "hekır"ların ve "skript kidi"lerin rağbet gösterdiği , IEnin üstün (!) yorumlama zekası sonucu oluşan XSS açıklarına karşı bir PHP sınıfı hazırladım.

Saldırganın biri herhangi bir grafik dosyasını hex editörün biriyle açıp, genelde MIME kontrollerinde bakılan ilk birkaç karaktere kadar olan(örneğin:GIF892A) yere silip yazdıgı kodlar Internet Explorer 6′da maalesef icra ediliyor. Bu yolla JS kodları çalıştırılarak grafiğin yüklendiği yerden cookie bilgileri çalınabilir.

Betik, GD kütüphanesiyle gelen grafiği hafızasına alıyor. İçeriği düzenleyip tekrar oluşturuyor ve kaydediyor. Kayıt işlemi yapılırken arka planda zararlı olabilecek kodlar dikkate alınmıyor ve sorun kökten çözülüyor.

Bunun dışında kod düzenleme ile yapılabilecek saldırılar da bertaraf ediliyor.Örneğin, Apachenin eski versiyonlarındaki xx.php.gif gibi dosya yüklemelerinin PHP olarak yorumlanması sonucu oluşan zayıflıklarda grafiğin yeniden üretilmesi kısmında çözülüyor.

Ayrıca betiğe imza özelliği de ekledim. İsterseniz her gelen grafiği kayıt etmeden sağ alt köşeye ufak puntolarla sitenizin adını yazdırabilirsiniz. İndirmek için : secureimg.rar

İlgili Yazılar

MyObjects Zend'in PHP 5 Yarışmasında 7. Oldu

resilence
31 Ekim 2004, 3 dakika okuma süresi

MySql ve PHP 5 nesne kalıcılık kütüphanesi (Object Persistence Library) uygulaması olan MyObjects, Zend firmasının düzenlediği Php 5 programlama yarışmasında 150'den fazla uygulama içerisinde 7. oldu.

MyObjects BSD lisansı ile dağıtılan bir uygulama, yani ticari olsun ya da olmasın her türlü php uygulaması MyObjects ile geliştirilebilir ya da MyObjects entegre edilerek geliştirilebilir. Uygulamanın genel amaçları ve özellikleri şöyle:

DCP Portal 7 BETA Yayınlandı

deathline
20 Şubat 2007, 2 dakika okuma süresi

DCP Portal 7 Beta bir yıldan fazla süren geliştirme süresinden sonra yayınlandı. Sürüm 7 beta 15 Şubat 2007 tarihinden itibaren Codeworx Teknolojileri dosya indirme alanından erişilebilir durumdadır. Bu sürüm için bir güncelleme betiği mevcut olmayıp, gerekli kararlılık ve sağlamlık sınamalarından geçirilmeden kullanılmamalıdır.

PHP 5 Ciddi Geliyor

pulsar
17 Mayıs 2003, 1 dakika okuma süresi

Yeni çıkacak olan PHP sürümünde bir çok nesneye yönelik programlama özelliği mevcut. PHP 4.x.x sürümleri ile PHP 5'i C/C++ gibi görenler bile var. Web scripting dillerinin en iyi kullanıcı gurubuna sahip dili artık ikinci devrine girdi diyebiliriz.

Bilgi için: PHPBuilder

Aybulut Portal V.1.2

anonim
11 Mart 2008, 1 dakika okuma süresi

Aybulut Portal V.1.2

Aybulut Portal tamamen PHP ve MySQL tabanı üzerine kuruludur. Aybulut Portalda Neler mi var ?

Sınırsız Makale Kategorisi ve Makale Ekleyebilme

Haber,Download,Domain Sorgu,Link Ekleme,Mailist,Tavsiye etme özelikleri
Arama yapma,Takvim,Saat,Günün Sözü ve İletişim mevcuttur.
Değiştirilebilir arayüztemaları. (Tema Değiştirme Özl.)
En büyük özeligi tamamen türkçe olması ve türk yazılım olması.

Yeni içerik yönetimi programı DCP-Portal

anonim
1 Ağustos 2001, 1 dakika okuma süresi

PHP-Nuke türü içerik yönetimi programlarına bir yenisi daha eklendi. Bir siteyi baştan aşağı gereksiz ayrıntılarla uğraşmanıza gerek kalmadan kurmanıza ve güncellemenize olanak sağlayan bu tür programlar zaten çok az sayıda bulunuyor. dotcom-Projects sahibi Serhan D. Kıymaz tarafından geliştirilen DCP-Portal size bir içerik yönetimi programından beklediğiniz her şeyi sunuyor. Tamamen PHP ve mySQL tabanlı olan DCP-Portal'nin özelliklerinden bazıları şöyle: