картинка-пакость (php)

[n3r0bi0m4n]

<?php
$f=fopen("abc.php","w");
fwrite($f,"<?php phpinfo(); ?>");
fclose($f);
header('Content-type: image/gif');
require('http://ya.ru/logo.gif');
exit();
?>


возможна ли такая "махинация" ?

например загрузил аватарку на форум, а на сервере создался файл abc.php в котором phpinfo();

если нет, объясните плз, почему :)

..ну а если возможно... помогите "внедрить" код в gif-картинку.. а то у меня не работает почему-то... хотя сниффер с таким-же окончанием (header('Content-type....) нормально проходит...

спасибо.

[Srg]

возможна ли такая "махинация" ?
Почему бы и нет? Однако, если в той дирректории где лежит файл есть возможность создавать файлы, то есть как минимум права на запись :)
А форумы, они помоему картинки в базе хранят

[Isis]

n3r0bi0m4n, мм....и что тебе даст то что ты код в картинку вставишь?

[n3r0bi0m4n]

Isis, то, что он выполнится. а код разный можно вставить.

[bobob]

картинка выполнится а не код)

[c411k]

только если в конфиге апача (httpd.conf) прописано AddType application/x-httpd-php php gif
либо в .htaccess
<Files "avatara.gif">
AddType application/x-httpd-php .gif
</Files>

иначе никак, насколько я знаю..

[n3r0bi0m4n]

а по какому принципу работает картинка-сниффер?... сначала php код, а потом require картинку и подмена header...

[_Great_]

а по какому принципу работает картинка-сниффер?... сначала php код, а потом require картинку и подмена header...
её не грузят на сервер, иначе она там не выполнится. указывают внешний урл на другой сервер, где она и лежит. создавать там файлы бесполезно.
короче, читай статьи про это :)

[n3r0bi0m4n]

ладн.. немног по другому вопрос: возможно ли закачать php в кач-ве картинки? (:

[nerezus]

Можно. В тегах картинки. Но обрабатываться она будет, как картинка. Пока не найдешь локальный Php-инклюд, а вероятность этого практически равна нулю в нормальном коде.

[_Great_]

ладн.. немног по другому вопрос: возможно ли закачать php в кач-ве картинки? (:
а смысл, если выполняться код не будет?

[Isis]

Isis, то, что он выполнится. а код разный можно вставить.
Мда....ты придумал новый способ шелла...акуено
Монстр

[n3r0bi0m4n]

Мда....ты придумал новый способ шелла...акуено
Монстр

не язви. я спросил можно ли сделать так (при любых обстоятельствах), а не как запихать шелл в картинке на такой-то серв.

да и если придираться к словам: "придумал новый способ шелла" --- это как, простите?

да, ктати, тему закрыть можно )... все что хотел узнать - объяснили :)...
маленький доллар лучше большого спасибо ;)