Creación de scripts entre sitios desde una imagen

Question

Tengo un editor de texto enriquecido en mi sitio que intento proteger contra los ataques XSS. Creo que ya manejé casi todo, pero aún no estoy seguro de qué hacer con las imágenes. En este momento estoy usando la siguiente expresión regular para validar las direcciones URL de imagen, que estoy asumiendo bloqueará línea Javascript ataques XSS:

"https?://[-A-Za-z0-9+&@#/%?=~_|!:,.;]+" 

lo que no estoy seguro es de lo abierta que esto me deja a los ataques XSS de la imagen remota ¿La vinculación a una imagen externa es una amenaza grave para la seguridad?

Lo único que se me ocurre es que la URL ingresada hace referencia a un recurso que devuelve "text/javascript" como su tipo MIME en lugar de algún tipo de imagen, y que luego se ejecuta javascript.

¿Es esto posible? ¿Hay alguna otra amenaza a la seguridad que deba considerar?

Answer 1

Otra cosa de la que preocuparse es que puede incrustar fácilmente código PHP dentro de una imagen y cargarla la mayor parte del tiempo. Lo único que un ataque tendría que ser capaz de hacer es encontrar una forma de incluir la imagen. (Solo se ejecutará el código PHP, el resto solo se repetirá). Verifique que el tipo MIME no lo ayude con esto porque el atacante puede simplemente cargar una imagen con los primeros bytes correctos, seguido de un código PHP arbitrario. (Lo mismo es cierto para código HTML y Javascript).

Answer 2

En ese caso, observe el contexto a su alrededor: ¿los usuarios solo proporcionan una URL? En ese caso, está bien simplemente validar la semántica de las URL y el tipo MIME. Si el usuario también ingresa etiquetas de algún tipo, deberá asegurarse de que no sean manipulables para hacer otra cosa que mostrar imágenes.

Answer 3

Si el visor final está en un área protegida por contraseña y su aplicación contiene URL que inician acciones basadas en las solicitudes GET, puede realizar una solicitud en nombre del usuario.

Ejemplos:

• src = "http://yoursite.com/deleteuser.xxx?userid=1234"
• src = "http://yoursite.com/user/delete/1234 "
• src =" http://yoursite.com/dosomethingdangerous"