Esempio sono i commenti GitHub che consentono solo il caricamento di immagini e PDF. Cosa succede se qualcuno carica codice dannoso dopo aver modificato l'estensione del file in qualcosa di simile a PNG o PDF?
Inoltre non concentrarti sull'esempio di GitHub. Mi chiedo in generale se la modifica di un file estensione (non totalmente-not-virus.mp4.exe, ma virus.pdf o virus.txt) possa causare problemi.
Tutto può succedere e ciò che accade esattamente dipende dal codice lato server dell'applicazione web. Alcuni credono nelle estensioni, alcuni credono nel contenuto, alcuni possono essere ingannati con attacchi polyglot, ... Quindi nel migliore dei casi non succede nulla o si verifica un errore perché il contenuto non è permesso e nel peggiore dei casi è possibile eseguire il codice sul server.
Se fatto correttamente, qualsiasi dato generato dall'utente dovrebbe essere considerato un possibile attacco da parte del server e quindi gestito con molta cura. Ma in pratica i server possono spesso essere sfruttati perché si fidano troppo dei dati generati dagli utenti. Questo include ma non è limitato a fidarsi dell'estensione del file. Esempio corrente: fidati di un caricamento dell'immagine (imagetragick) .
Dipende. Se il server e le persone che ricevono il codice tentano di usarlo come PNG, il visualizzatore PNG non può funzionare o dare un errore. Inoltre c'è un sito Web che trasforma JS in un PNG valido e visualizzabile. Ma il codice non verrà eseguito a meno che tu non provi ad eseguirlo. È anche possibile rinominare un file hello3pm.exe in hello (simbolo unicode speciale) 3 pm.exe e verrà visualizzato come helloexe.mp3 su Windows e verrà eseguito al clic. Non ricordo lo speciale simbolo di inversione Unicode e la maggior parte degli Anti-virus reagirà in modo scarno ai file con la cosa speciale nel nome.
Leggi altre domande sui tag network file-upload injection