XF 1.5 Шелл через вложения

[lazerhead]

Если разрешить пользователям загрузку вложений, могут ли таким образом залить в картинке бяку? Или Xenforo от такого защищен?

Я это почему спрашиваю. Хочу многие внешние картинки скачать в аттачи. Вот и думаю, безопасно ли? Как-нибудь их проверить можно, например, вирустоталом или чем-то подобным?

О! Погодите-ка! А ведь можно просто включить проксирование изображений, выставить все по нулям, и продолжать не пользоваться аттачами? (хотел скачать все в аттачи только для того, чтобы избежать битых картинок, например, когда фотохостинг дохнет). И в таком случае все проксированные картинки гарантированно будут храниться на сервере вечно?

 

[unconfirmed]

.XenForo не хранит вложения с их расширениями. Да и в картинку загрузить какую-то бяку, которую можно будет использовать как шелл точно нельзя.

А проксирование наоборот менее безопасно, потому что палит IP сервера =)

 

[_Werewolf_]

Зависит от наличия дыр в XF. Или плагинах.
И если первый поддерживают крутые парни (но это не панацея, ведь на старуху бывает порнуха), то плагины любителей не только случайно могут содержать бэкдор, но и специально.
Продавался когда-то 0-day на тему, ошибка позволяла... запустить содержимое вложения. Давно было.
Так что шелл в вложении может быть, но с таким же успехом может прилететь в адресной строке, куках, полях и с небес.

 

[Mirovinger]

Если разрешить пользователям загрузку вложений, могут ли таким образом залить в картинке бяку? Или Xenforo от такого защищен?

Я это почему спрашиваю. Хочу многие внешние картинки скачать в аттачи. Вот и думаю, безопасно ли? Как-нибудь их проверить можно, например, вирустоталом или чем-то подобным?

О! Погодите-ка! А ведь можно просто включить проксирование изображений, выставить все по нулям, и продолжать не пользоваться аттачами? (хотел скачать все в аттачи только для того, чтобы избежать битых картинок, например, когда фотохостинг дохнет). И в таком случае все проксированные картинки гарантированно будут храниться на сервере вечно?

Ага, шеллы, ещё что придумайте, мы же тут от нечего делать просим загружать вложениями, так как хотим шеллы словить.
Не было на ксен 0-day по загрузке и выполнению шелла, было дополнение с умышленно оставленным бекдором, которое и позволяло всё это провернуть.