Nezabezpečený upload souborů

7. 9. 2012 15:51:28

Dobrý den,

zajímalo by mě, co vše se dá způsobit uploadem a možností spuštění nahraného souboru. Jaká bezpečnostní rizika může takový nezabezpečený formulář způsobit?

Děkuji

7. 9. 2012 15:51:28

https://webtrh.cz/diskuse/nezabezpeceny-upload-souboru/#reply805869

Michal Kubíček

(84 hodnocení)

7. 9. 2012 15:58:28

V podstate cokoli. Treba precteni zdrojoveho kodu PHP scriptu, prunik do databaze atd.

---------- Příspěvek doplněn 07.09.2012 v 15:58 ----------

PS: Napis mi adresu takoveho formulare a uvidis:)

7. 9. 2012 15:58:28

https://webtrh.cz/diskuse/nezabezpeceny-upload-souboru/#reply805868

pes502

(4 hodnocení)

7. 9. 2012 16:10:45

Třeba zformátování celé VPSky popř. hostingu

7. 9. 2012 16:10:45

https://webtrh.cz/diskuse/nezabezpeceny-upload-souboru/#reply805867

Nishkam

(3 hodnocení)

7. 9. 2012 16:19:41

doplnim jeste, zneuziti serveru pro rozesilani spamu, utoky na jine servery, umisteni podvodnych stranek (phishing)

7. 9. 2012 16:19:41

https://webtrh.cz/diskuse/nezabezpeceny-upload-souboru/#reply805866

Jakub Kočí

(35 hodnocení)

7. 9. 2012 16:20:12

Ale našel jsem jeden takový ve firmě, kde teď nově působím. Je to sice formulář až za přihlášením, ale vzhledem k tomu, že je to firma o 300 lidech, tak ztráta loginu je dost možná a pak už stačí nahrát jakýkoliv soubor přes formulář a je to.

7. 9. 2012 16:20:12

https://webtrh.cz/diskuse/nezabezpeceny-upload-souboru/#reply805865

Nishkam

(3 hodnocení)

7. 9. 2012 16:21:58

takovych je :)

7. 9. 2012 16:21:58

https://webtrh.cz/diskuse/nezabezpeceny-upload-souboru/#reply805864

Martin Krejčí

(1 hodnocení)

8. 9. 2012 11:10:34

Zásadní je neumožnit kombinaci následujících věcí:

1) Jde zvenku nahrát na server programový kód.

2) Takto nahraný kód lze pod nějakou URL spustit.

3) Spuštěný kód má přístup k systémovým příkazům nebo k citlivým datům.

Je-li výše uvedené splněné, pak je velmi jednoduché nahrát na server skript, který funguje jako shell. Existuje jich spousta hotových (c99shell a spol), ale v zásadě úplně stačí něco v tomto duchu (pseudokód):

a útočník má shell. Sice ne root, ale i tak mu to bohatě stačí na kompromitaci databáze a mnohdy i na editaci skriptů, takže si tam vytvoří 10 dalších, jiných backdoorů a ten původní skript zase smaže, aby zahladil stopy. Pokud může webserver posílat maily, tak útočník taky a to dokonce jménem vaší firmy, aniž by ho spamfiltry odfiltrovaly, atd. atd.

Zkrátka a dobře, nepodceňovat. Neošetřené uploady nejsou sranda.

8. 9. 2012 11:10:34

https://webtrh.cz/diskuse/nezabezpeceny-upload-souboru/#reply805863

Denis Ulmann

(9 hodnocení)

9. 9. 2012 01:27:24

Otázka, ošetření koncovky soubory v případě uploadu obrázku tedy třeba .jpg a .gif stačí, nebo je i to nějak 'napadnutelné'?

9. 9. 2012 01:27:24

https://webtrh.cz/diskuse/nezabezpeceny-upload-souboru/#reply805862

Martin Krejčí

(1 hodnocení)

9. 9. 2012 06:49:22

Je-li webserver nastaven běžným způsobem tak soubory .jpg a spol. neinterpretuje jako skripty, takže ano, stačí. Vlastně tak zamezujete bodu 2) viz výše. Ideální je pochopitelně zamezit už bodu 1) a tedy kontrolovat, že uploadovaný soubor je skutečně obrázek. To se dá dělat např. pomocí knihovny GD nebo pomocí nějakého systémového příkazu.

9. 9. 2012 06:49:22

https://webtrh.cz/diskuse/nezabezpeceny-upload-souboru/#reply805861

Pro odpověď se přihlašte.

Přihlásit