安全预警:ImageMagick图象处理软件存在远程代码…
2019-04-10 08:46:48来源: FreeBuf黑客与极客 阅读 ()
题图来自pixabay
ImageMagick是一款广泛流行的图像处理软件,有无数的网站使用它来进行图像处理,但在本周二,ImageMagick披露出了一个严重的0day漏洞,此漏洞允许攻击者通过上传恶意构造的图像文件,在目标服务器执行任意代码。Slack安全工程师Ryan Hube发现了这一0day漏洞。
如果你在网站中使用了ImageMagick去识别,裁剪或者调整用户上传的图像,你必须确认已经使用了这些缓解措施,并且调整你的代码只接受有效的图像文件,沙盒ImageMagick也是一个不错的主意。
在这个安全漏洞公布之后,这一漏洞的EXP也随即被发布,并被命名为:Imagetragick。漏洞的EXP已经通过邮件和论坛广泛传播,所以如果你使用了ImageMagick去处理用户输入,请立即采取相应的缓解措施。
ImageMagick被许多编程语言所支持,包括Perl,C++,PHP,Python和Ruby等,并被部署在数以百万计的网站,博客,社交媒体平台和流行的内容管理系统(CMS),例如WordPress和Drupal。
该漏洞的利用十分简单,通过上传一个恶意图像到目标Web服务器上,攻击者就可以执行任意代码,窃取重要信息,用户帐户等。
换句话说,只有采用了ImageMagick,且允许用户上传图像的网站,才会受到影响。
ImageMagick团队已经承认了此漏洞,称:
最近发布的漏洞报告……包含可能存在的远程代码执行。
虽然该团队还没有公布任何安全补丁,但它建议网站管理者应该在配置文件中添加几行代码去阻止攻击,至少在某些情况下可以防御。
Web管理员同时被建议在文件发送给ImageMagick处理前,检查文件的magic bytes。Magic bytes是一个文件的前几个字节,被用于识别图像类型,例如GIF,JPEG和PNG等。
为了让你更好地了解你将要面对的漏洞,下面提供一个可以瞒过ImageMagick的示例文件:
push graphic-context
viewbox 0 0 640 480
fill ‘url(https://example.com/image.jpg“|ls “-la)’
pop graphic-context
将其保存为任意的扩展名,例如expoit.jpg,然后通过ImageMagick去运行它
convert exploit.jpg out.png
是的,ImageMagick将会去执行嵌入的代码:ls -l命令。
将这条命令替换为其它的恶意命令,将会直接威胁到目标机器,不过你可能会触犯一些法律。
该漏洞将在ImageMagick 7.0.1-1和6.9.3-10版本中被修补,这些新版本预计将在周末前被公布。
* 原文链接:thehackernews,theregister,watcher编译,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)
标签:
版权申明:本站文章部分自网络,如有侵权,请联系:west999com@outlook.com
特别注意:本站所有转载文章言论不代表本站观点,本站所提供的摄影照片,插画,设计作品,如需使用,请与原作者联系,版权归原作者所有
- 亲身经历:3天解决网站被百度网址安全中心拦截的方法 2019-12-13
- 亲身经历:3天解决网站被百度网址安全中心拦截的方法 2019-12-13
- 这家顶尖 CA 厂商可让羞羞网站更安全,但它的野心不止于此 2019-04-10
- Windows操作系统服务器怎样安装SSL安全证书 2019-04-10
- Google Chrome 将从9月开始,默认 HTTPS 页面为安全站点 2019-04-10
IDC资讯: 主机资讯 注册资讯 托管资讯 vps资讯 网站建设
网站运营: 建站经验 策划盈利 搜索优化 网站推广 免费资源
网络编程: Asp.Net编程 Asp编程 Php编程 Xml编程 Access Mssql Mysql 其它
服务器技术: Web服务器 Ftp服务器 Mail服务器 Dns服务器 安全防护
软件技巧: 其它软件 Word Excel Powerpoint Ghost Vista QQ空间 QQ FlashGet 迅雷
网页制作: FrontPages Dreamweaver Javascript css photoshop fireworks Flash