URL data:

14.7.2006 01:47 | Přečteno: 3001× | poslední úprava: 31.7.2006 09:30

Uvidíte nevídané, uslyšíte neslýchané… Již dnes ve vašem webovém prohlížeči. Historicky první blog na abclinuxu, jehož multimediální výbava je uložena na tomtéž serveru.

Již jsme si zvykli, že v Xerox Palo Alto Research Center se vymýšlejí roztodivné věci a že občas se nějaká ta blbůstka osvědčí na tolik, že se bez ní už nedokážeme obejít. Příkladem budiž myš, GUI nebo kopírka.

V roce 1998 spatřilo světlo světa RFC 2397 nesoucí krátký název The "Data" URL scheme a čítající příjemných pět stran.

Toto RFC definuje schéma data:, které umožňuje vkládat kráké soubory přímo do mateřského dokumentu. Syntaxe URL je následující:

url        := "data:" [ mediatype ] [ ";base64" ] "," data
mediatype  := [ type "/" subtype ] *( ";" parameter )
data       := *urlchar
parameter  := attribute "=" value

kde data jsou odkazovaná data (obsah souboru) a mediatype je MIME typ popisující druh dat. V případě, že je uveden typ kódování base64, jsou data tímto kódováním zapsána, jinak se použije standarní URL kódování (%xx). Chybí-li i MIME typ, předpokládá se text/plain;charset=US-ASCII. Tolik teorie, nyní praxe.

Schéma má sloužit ke vkládání krátkých datových bloků, jejichž obvyklý přenos HTTP prokotokolem by představoval nepřiměřenou režii. Takto můžeme vkládat např. malé ornamenty , podobiznu Larryho Masintera (autor tohoto RFC) nebo zvukovou nahrávku. (Bohužel redakční systém neumožňuje vkládat object elementy, takze alespoň takto odkazem.)

Když říkám malé kousky dat, tak tím myslím menší než velké. Např. v jazyce HTML 2.0 je délka hodnoty atributu omezena na 1024 znaků a ve verzi 4.1 na 65535 znaků. Avšak Opera je benevolentnější a limit má někde kolem 4000 znaků (zdá se, že verze 9.00 zpracuje i delší) . Například následující Tux měří 57588 znaků a Mozilla s tím problémy nemá. Admin: smazano

Tím se dostáváme ke stinné stránce vynálezu. V rukou spammera, agresivní reklamní agentury či duševně nevyrovného jedince může tato technika vyvolat řadu negativních reakcí. Prozatím se můžeme uklidňovat chybějící podporou v nejpoužívanějším HTML prohlížeči a spoustě dalších programů.

       

Komentáře

[fakenickname]

po nečem takovém jsem ve skrytu duše vždy toužil :) moc zajímavé..

[trancelius]

To skoro vypadá jako "insert shellcode here" :) ideální na exploitaci případných chyb v knihovnách, zpracujících daný media format

[xxxxxxxx]

po dlouhej době zajímavej blog!

[xvasek]

Tak to je šupec. Firefox tuxe sice zobrazí, ale když se podívám na zdrojový kód stránky, tak je to bílý text na bílém pozadí, což je zřejmě bug. Každopádně mazec, dal bych i víc bodů než jenom 3, ale nějak to nejde...

[JiK]

to je mazec, v Safari je to taky videt...

[Filip Jirsák]

To aby se teď začli prověřovat všechny chyby v prohlížečích ohledně cross-site-scripting, vkládání embeded a ActiveX atd., zda nejdou aktivovat tímto způsobem. Obávám se totiž, že zejména u jednoho prohlížeče je to ošetřeno tak, že se kontrolují všechny potenciálně nebezpečné vstupy, a o tomto způsobu se asi moc neví…

[xvasek]

Jestli ten "jeden prohlížeč" je IE, tak to je v suchu, ten to vůbec nepodporuje, takže ho tímto nelze napadnout.

[Filip Jirsák]

Tak to je jediné štěstí

[vogo]

Konqueror potažmo khtml si s tuxem poradilo také :) tohle je opravdu rulezní, asi to začnu využívat ve svém blogu :).

[Jardík]

Opera 9 bez problémů

[Leoš Literák]

Moc hezke. Mam to blokovat?

[David Watzke]

Proč proboha?

[xvasek]

Prosím nee, ale možná bych tím pádem zavedl kvótu na velikost stránky, aby si sem někdo nezačal ukládat písničky Lunetiku.

[petr_p]

Ona ta hracka neco stoji. Tento blogspot ma 64 kB (jen Tux zabira 56 kB). Kdyby to zacal pouzivat kazdy, tak za chvili nebudes stacit kupovat disky :)

Asi bych zavedl nejaky limit na delku prispevku. Na to, aby se to zakazalo, je to moc krasny. Navic si myslim, ze to muze nalezt legitimni uplatneni. Napr. cernobile nakresky po ulozeni do PNG jsou celkem male (500x400 px ~ 17 kB). Na schemata siti jako delane (a az se vyvojari GRE umoudri a umozni adresovat SVG jako img, tak to bude jeste lepsi). Nebo to zakazat uplne, ale otevrit letni skolu ASCII artu :D

[Zdeněk Štěpánek]

Tak, princip jsem sice pochopil, ale jeste mi neni jasny, jakym zpusobem jsi to ulozil na server.

[David Watzke]

Huh? Jakej server?

[Milan Horák]

Přímo v HTML, base64 encoded.

[Kyosuke]

„princip jsem sice pochopil, ale jeste mi neni jasny, jakym zpusobem jsi to ulozil na server“

V této větě bych, s dovolením, viděl rozpor...

[Bubak]

Zdrojak stranky ti nestaci?

[Bubak]

Ale je to hnusne hezka ficura

[zde]

Asi před 3 rokama jsem to chtěl používat v intranetu (YP, pro fotky), ale neběhalo to na MSIE. Už to aktuální MSIE umí?

[Filip Jirsák]

Asi před 3 rokama … Už to aktuální MSIE umí?

Aktuální MSIE je myslím ten samý, jako před třema rokama MSIE 7 beta to nejspíš umět nebude, tam mají starosti s tím, aby to umělo daleko základnější věci…

[kavol]

Např. v jazyce HTML je délka hodnoty atributu omezena na 1024 znaků.

- mohu vědět, z čeho to vyplývá? (v normě jsem to nenašel, nechce se mi ji teď ale kvůli tomu číst celou ...)

[petr_p]

Toto omezeni plati pro HTML 2.0. HTML je instance SGML. SGML umoznuje definovat spoustu vlastnosti (napr. urcuje, ktere znaky jsou bile, ze tagy jsou ohraniceny zrovna spicatymi zavorkami apod.) mimojine i delku literalu (sekce 9.5, definice LITLEN).

HTML 4.1 je nadmnozina HTML 4.0. Pro HTML 4.0 plati rozsirena SGML deklarace (tj. bere v uvahu technicky vyvoj) a omezeje delku na 65535 znaku.

Problem s validatory HTML je ten, ze jsou velmi nedokonale, protoze SGML je jazyk velmu rozsahly s mnoha parametry. Nejlepsi svobodna implemantace je Clarcuv nsgmls, ktery by to snad mel umet otestovat.

Omlouvam se tedy za zmateni.

[XMurder]

<>
Hle, chybička se vloudí i do komentářů, semto hacker!
Stačí na začátku a konci každého zakázaného tagu přidat ještě jednu šipku a můžu mít v komentářích obrázky, i ty odkazované nebo integrované v html!

[David Watzke]

<>

Ajo, to je úžasný Ale před obrázek se nedá nic napsat.

[VícNežNic]

Tak, a X je tady. Za X dosaďte váš oblíbený příběh o konci světa.

[XMurder]

Ale dá<
<>

[XMurder]

Hele, stačí i jedna šipka, někdy sem zkusím vložit binárku<

[XMurder]

<>BAF!<

[Filip Jirsák]

Ale před obrázek se nedá nic napsat.

Takže teď budeme všichni v nejistotě, komu to srdce vlastně patřilo. Anička nebude vědět, zda kvůli chybě v parseru nepřišla o nápadníka, Zuza nebude vědět, zda David konečně neupřesnil, co myslel svým "chicht", a ostatní ženy a dívky zde budou taky zmatené a ještě budou naštvané na mne, že jsem na ně zapomněl

A taky chudáci prohlížeče, že se s tímhle <<html>> musí vyrovnat.

[Michal Kubeček]

Nebýt chyby v parseru, ten příspěvek by vůbec neprošel…

[Filip Jirsák]

On ten parser je určen spíš ke zpracování HTML dokumentu než k validaci, takže se snaží vzít i různé zpotvořeniny. No a parser Mozilly (a určitě i ostatní) se chová úplně stejně, takže když najde ve zdroji < které nezačíná tag, bere ho jako text.

[David Watzke]

... ostatní ženy a dívky zde budou taky zmatené a ještě budou naštvané na mne, že jsem na ně zapomněl

Myslím, že v mým případě ani nebudou

[Filip Jirsák]

zlý ošklivý obrázek
Hle, chybička se vloudí i do komentářů, semto hacker!
Stačí na začátku a konci každého zakázaného tagu přidat ještě jednu šipku a můžu mít v komentářích obrázky, i ty odkazované nebo integrované v html!

Zrovna nedávno jsem si říkal, zda by se příspěvky místo kontrolou regulárními výrazy neměly parsovat skutečným XML parserem a prohnat nějakou XSLT šablonou, která je udělá bezpečnými. Ještě chvilku si tu hrajte, a bude to nutnost udělat

[XMurder]

Tak rychle něž na to přijdou spammeři<>

[David Watzke]

Smůla, už jsi na to přišel

[XMurder]

Myslím že i kdyby tady byla nasazena nová kontrola kódu, tak to oblbnout stejně půjde (nějak, možná třeba zkoušet znaky v html kódu. viz. soom.cz - něco o spamování, nevim jak se to přesně jmenuje)

[Zafod]

A na to převedení do base64 slouží uuencode? Koukal sem do manu a moc chytrej z toho tedy nejsem, abych se přiznal.

[trancelius]

base64 -e < obrazek.png > obrazek.txt

[Zafod]

Díky, zrovinka sem se k tomu i dogooglil Taky sem našel jeden online encoder/decoder

[blogsm]

<> šikovná věc . Nerušil bych to. Já si myslím, že na abclinuxu jsou inteligentní lidi, a že se to nebude cpát do diskuze.

[XMurder]

Šikovná věc to je, ale někdo by se mohl na abíčko naštvat a vkládat do komentářů hromadně obrázky přímo i v kódu html (v tom, o čem je blogspot) a to by byl hnojník.
hm, zkus tag <<script>, něco to tady dělá (naživo jsem to nezkoušel, v náhledu pouze zničí patičku).
Leoš bude mít radost

[Josef Kufner]

Mnoooo.... když to vemu do extrému, gimp umí uložit obrázek jako html tabulku...

[Leoš Literák]

Bohuzel jsem ten velky obrazek musel zrusit, pada mi vytvareni indexu pro hledani u tohoto prispevku.

[petr_p]

Rozumim.