שמירה בשם במקום תצוגת תמונות

[zvinissim]

@yossiz אמר בשמירה בשם במקום תצוגת תמונות:

@zvinissim תסתכל פה תראה ש @dovid נלחץ מאוד מאיזה חור אבטחתי, ומאז לא שומעים ממנו אבל הפורום מתלבש קצת באווירה פורימית

@yossiz גם הקישור שנתת נפתח לי כשמור בשם (עם שמירת תבנית HTML)
התמונות עם תבנית PMG

משונה עבד עד לשעה האחרונה טוב ופתאום התחילה הבעיה

[yossiz]

@zvinissim אמר בשמירה בשם במקום תצוגת תמונות:

משונה עבד עד לשעה האחרונה טוב ופתאום התחילה הבעיה

אל תדאג, זה @dovid שעובד בקדחתנות מהבונקר שלו לטפל בבעיית האבטחה שמאיים על כולנו... תסתכל בהמשך השרשור ש @יוסף-בן-שמעון מפרט בטוב טעם איך זה מאיים על שלומינו.

[ארי63]

@zvinissim אתה מדבר עם הבלגנסיט בעצמו!
@yossiz העלה קובץ HTML @dovid נלחץ. ומאז הכל היסטוריה
והנה עוד דוגמא ל bidi

[zvinissim]

@ארי63 לא הבנתי את הבעיה
נקווה ש @dovid שיסדר אותה

אולי יש עוד כריש שיתן כתף?

[ארי63]

@zvinissim תסתכל בפוסט מי עוד משתגע מהתנהגות כרום לגבי טקסט bidi?

[yossiz]

@ארי63 אמר בשמירה בשם במקום תצוגת תמונות:

והנה עוד דוגמא ל bidi

טוב, בשביל זה יש עצות ביוניקוד. https://en.wikipedia.org/wiki/Left-to-right_mark

[מלא]

פוסט זה נמחק!

[ארי63]

@yossiz זה היה הסחפות באווירה הפורימית...

[מלא]

@zvinissim אמר בשמירה בשם במקום תצוגת תמונות:

אולי יש עוד כריש שיתן כתף?

מחכים עליך בפינת הטיפים

[zvinissim]

@ארי63 מתנצל
לא הבנתי כלום מכל הבלגן

אשמח להסבר פשוט של הדבר הזה

עריכה:
רציני לחלוטין

[yossiz]

@zvinissim איזה בלגן? של חור האבטחה? אתה יושב ככה בארמון שלך מרגיש בטוח כאשר בכל רגע הכל יכול להתפוצץ? מה איתך?

בקיצער, כמה אתה מכיר טכנולוגיות ווב?
יש מה שנקרא קוקיס (עוגיות), באמצעותם האתר מזהה אותך (כן, אני מתכוון לך אישית) כמישהו עם הרשאות להעביר פוסטים ממקום למקום.
יש מה שנקרא javascript שזה סקריפט שרץ בתוך הדף, לסקריפט יש גישה לכספת העוגיות ששייכות לאותו אתר.
אם נגיד, מותר לי (yossiz) להעלות דף HTML שייפתח בדפדפן, ואם נגיד אני ארצה להיות רשע, אז הייתי יכול להעלות דף שכולל בתוכו סקריפט שיגנוב את העוגיות ממך ויעבירם אלי. ברגע שאתה פותח את הדף, הסקריפט רץ בדפדפן שלך, גונב את העוגיות, מעביר אותם לשרת שלי, ואז כמו שאומרים, זה game over.

ברור?

[zvinissim]

@yossiz אמר בשמירה בשם במקום תצוגת תמונות:

@zvinissim איזה בלגן? של חור האבטחה? אתה יושב ככה בארמון שלך מרגיש בטוח כאשר בכל רגע הכל יכול להתפוצץ? מה איתך?

בקיצער, כמה אתה מכיר טכנולוגיות ווב?
יש מה שנקרא קוקיס (עוגיות), באמצעותם האתר מזהה אותך (כן, אני מתכוון לך אישית) כמישהו עם הרשאות להעביר פוסטים ממקום למקום.
יש מה שנקרא javascript שזה סקריפט שרץ בתוך הדף, לסקריפט יש גישה לכספת העוגיות ששייכות לאותו אתר.
אם נגיד, מותר לי (yossiz) להעלות דף HTML שייפתח בדפדפן, ואם נגיד אני ארצה להיות רשע, אז הייתי יכול להעלות דף שכולל בתוכו סקריפט שיגנוב את העוגיות ממך ויעבירם אלי. ברגע שאתה פותח את הדף, הסקריפט רץ בדפדפן שלך, גונב את העוגיות, מעביר אותם לשרת שלי, ואז כמו שאומרים, זה game over.

ברור?

@yossiz את העוגיות הבנתי רק עם כוס חלב בצד

רציני
עכשיו הבנתי את הענין
אבל באותה מידה לא חייב שזה יהיה דף אינטרנט אלא אפילו תמונה שנפתחת בכרטסיה נפרדת לא?

[dovid]

הבעיה כעת סודרה, לכאורה.
הייתה בעיה רצינית שמי שהעלה html, הקובץ היה נפתח לתצוגה בדפדפן ולא להורדה.
למה זה בעיה? ההסבר של @יוסף-בן-שמעון ו @yossiz מסביר את הרקע אבל לא לגמרי מדייק.
העוגיות של הדפדפן הם אלה שגורמות לכך שהאתר מזהה אותי כמי שלפני תקופה שמתי שם וסיסמה ומכח זה הגולש יכול לגשת לאיזור אישי שלו דיקא, או כמנהל לאיזור ניהול וכו'
כעת כל זה קורה במחשב הגולש שאכן הזין את השם והסיסמה הנכונים. אז עד כאן הכל בסדר.
עכשיו התוקף יכול לבנות דף HTML ולהעלות אותו לפורום תוך עידוד פתיחתו ("מה דעתכם על העיצוב"), ושמה בדף הוא יכתוב קוד JS שלוקח את התוכן של העוגיות ולאחמ"כ לשלוח למקום שידוע לו. לזה קוראים גניבת עוגיות - אבל החשש הזה לא היה קיים במקרה שלנו! כי העוגיות על מצב http only = אין גישה לJS.
אז מה כן החשש? פשוט מאוד - כותב הדף הHTML, ינסה בקוד הJS לגנוב מידע במקום לגנוב עוגיות. למשל הוא ייגש למייל של הגולש הנתקף שמוסתר לכולם (וזה זכות הקוד של הJS לגשת למידע זה שהרי הוא רץ במחשב של המשתמש הרלוונטי) ולחמ"כ לשלוח אותו לשרת של התוקף'.
ב"ה פתרתי את זה בעזרת @magicode ע"י הוספת ההידר Content-Disposition 'attachment;' זה גורם לכך שהדפדפן יתייחס לקבצים כקבצי הורדה ולא יציג אותם. כך מחשב הנתקף מוגן מגניבה, כי הקוד שבדף לא ירוץ במחשב שלו, ופרטיו לא ייגנבו.

[מלא]

@dovid אצלי הוא עדיין מוריד...

[dovid]

@מלא אמר בשמירה בשם במקום תצוגת תמונות:

@dovid אצלי הוא עדיין מוריד...

את מה?
תן לינק, או תעלה תמונה.

[מלא]

@dovid
הבעיה של צבי..
כל תמונה שאני לוחץ עליה יורדת למחשב במקום שתהיה מוצגת.
תמונה שאני העלתי הוא כן פותח בדפדפן.
בדקתי באשכול שהסגיר לך את הפירצה.

עריכה: באשכולות אחרים הוא כן מציג...

[dovid]

ביקשתי לינק או תמונה.
אולי זה משאב שנכנסת אליו לפני כן ואז המטמון שומר גם את הכותרות (headers).

[מלא]

@dovid
זה היה בכל התמונות של האשכול ההוא כמו שכתבתי...

אמרת שזה מטמון,
עשיתי רענון עמוק 'ריקון המטמון וכו' ואכן סודר...

[yossiz]

@dovid אמר בשמירה בשם במקום תצוגת תמונות:

כי העוגיות על מצב http only = אין גישה לJS.

אוקיי, למדתי משהו שלא כ"כ הכרתי

אז מה כן החשש? פשוט מאוד - כותב הדף הHTML, ינסה בקוד הJS לגנוב מידע במקום לגנוב עוגיות. למשל הוא ייגש למייל של הגולש הנתקף שמוסתר לכולם

האם היה אפשרות ליצור פוסטים בשם המשתמש?

[dovid]

@yossiz אמר בשמירה בשם במקום תצוגת תמונות:

האם היה אפשרות ליצור פוסטים בשם המשתמש?

לדף ברור שיש, איך לא יהיה לו, אבל לתוקף אין אפשרות (מעבר לרגעים בהם המשתמש בדף וגם אז זה עם תקשורת מול שרת שיש לו הוראות מראש).