Timthumb PHP skript může výt zneužit k útoku (diskuse)

[Migi]

veselá chybička v nadpisu, autor by se měl stydět

[David Watzke]

Opravil jsem to. Btw, měl jsem za to, že jsi taky správce zpráviček.

[D'']

sed s/".com"/".com/"/g zoznam_povolenych_url ?

[zulu]

ne

[M___]

http://evilhackersite.com/blogger.com/...

[kdosi]

$allowedSites = array (
	'flickr.com',
	'picasa.com',
	'blogger.com',
	'wordpress.com',
	'img.youtube.com',
	'upload.wikimedia.org',
	'photobucket.com',
);

$url = ...
$host = parse_url($url,PHP_URL_HOST);

$ok = false;
foreach($allowedSites as $site){
  if(ereg($site.'$', $host)){
    $ok = true;
    break;
  }
}

if($ok){
  ...
}

[kdosi]

A oprava opravy, radek 16 by mel byt:

if(ereg('^(.*\.)?'.$site.'$', $host)){

[Josef Kufner]

Takže pokud dáme do whitelistu doménu upload.wikimedia.org, tak si stačí podvrhnout doménu upload-wikimedia.org a máme hotovo?

[kdosi]

Presne tak :)

tedy pred ifem jeste

$site = strtr($site,array('.'=>'\.'));

ted uz by to na domenu a subdomeny pasovat mohlo ?

[Josef Kufner]

if ($allowed == parse_url($url, PHP_URL_HOST)) { ... }