PHP код в картинке

[YoriK]

Прочитал статью в хакере, в которой говориться, что в картинку можно вставлять теги и соотвественно php код в картинку. Какие необходимые условия нужны и как создать такую картинку?

Вот кусок статьи:

"Но буквально через час я вспомнил, что рисунок - это не просто изображение. В него можно вставлять различные тэги, которые в ряде случаев способны выполняться как команда. В моем случае это сделать достаточно реально. Смотри: движок регистрации написан на PHP, теоретически при показе рисунка скрипт тупо берет все его содержимое и сливает браузеру. Но при наличии вредных тэгов, обрамленных <? ?>, часть рисунка может интерпретироваться как команда!"

[Assembler]

Наф тебе это нада вроде почти ни в каких движках не работает.. Хотя могу ошибаться

[Talisman]

в каком хакере про это писали?

я про это писал: http://forum.antichat.ru/thread35768.html

[Talisman]

Наф тебе это нада вроде почти ни в каких движках не работает.. Хотя могу ошибаться
работает.

заливаешь картинку на сервера (аватарку типа)

потом через багу типа локал инклуд исполняешь то, что в картинке

[YoriK]

Вот линк на журнал и статью:
http://www.xakep.ru/magazine/xa/091/068/1.asp

* ушёл обкуривать что такое пинчь =) *

[Chadros]

Вот линк на журнал и статью:
http://www.xakep.ru/magazine/xa/091/068/1.asp

* ушёл обкуривать что такое пинчь =) *


Провел на форуме:
15 часов 58 минут 31 секунду

Ты тут что, Степашку с Хрюшей искал, или подшивки старого Хакера?? Ты хоть бы по статейкам пробежался, как-то знания получал бы и систематизировал!
Стыдно должно быть, ТС!

[YoriK]

фигасе вы жжёте))

[DimOnOID]

Такое возможно только с IE+PNG...и вроде старых версий...Так что забудь...

[[Raz0r]]

DimOnOID, IE+PNG - это для XSS.
Вообще, когда читал эту статью тоже очень долго думал, что же имеет в виду автор. Пришел к выводу, что либо автор нашел баг случайно и доконца не понял, почему так произошло; либо по словам автора скрипт инклудит картинку, что очень странно.
Статья по сабжу:
http://raz0r.name/articles/bezopasnost-zagruzhaemyx-izobrazhenij/

[YoriK]

']DimOnOID, IE+PNG - это для XSS.
Вообще, когда читал эту статью тоже очень долго думал, что же имеет в виду автор. Пришел к выводу, что либо автор нашел баг случайно и доконца не понял, почему так произошло; либо по словам автора скрипт инклудит картинку, что очень странно.
Статья по сабжу:
http://raz0r.name/articles/bezopasnost-zagruzhaemyx-izobrazhenij/

Спасибо! То, что искал

[Deathdreams]

htaccess + gif

[lalala23]

http://www.milw0rm.com/video/watch.php?id=57

тут подробное видео.