• 69160
  • 1363
  • 83
Нравится блог?
Подписывайтесь!

Сервисы хранения изображений: только ли для изображений?

Всем известны сервисы для хранения файлов и сервисы для хранения изображений. Если в первом случае можно загружать любые файлы, то сервисы для хранения изображений имеют логичные ограничения на тип загружаемых файлов.
Но так ли это на самом деле?
Для эксперимента я воспользовался сервисом pics.kz
Если попробовать загрузить НЕ картинку, то сервис такой файл не принимает. Менять расширение на JPG или PNG тоже не помогает. Всё логично. Тогда я обратился к документации по формату PNG. Он достаточно простой, и что интересно, в него можно внедрить любую информацию, например MP3 файл или PDF документ. Но что самое главное, такой файл остаётся картинкой и как следствие, принимается сервисом pics.kz без проблем. Как впрочем и yvision.kz и image.kz.
Для примера, ниже можно увидеть 3 одинаковых картинки, хранимых на вышеперечисленных сервисах. Если вы откроете их в Notepad, то в самом низу увидите текст данной записи:



Получается, что сервисы для хранения изображений и блог платформы являются универсальными хранилищами данных.

Vitaliy Tsvayer tsvayer
5 февраля 2011, 16:57
903

Загрузка...

Комментарии

Olegon
0
0
а если у файла только header оставить от изображения, а все остальное будет файлом другого типа. тоже пропустит? думаю проверку всего файла на чужое содержимое не делают дабы не тормозить процесс загрузки файла.
нужно поэкспериментировать. Но даже без этого всё достаточно просто, скрипт для внедрения данных в картинку и считывания обратно будет занимать не больше 10 строк на Perl или Python. А на Linux скорее всего можно будет вообще обойтись командной строкой.
alch
0
0
Отличная возможность загружать вредоносный код.
Каким образом он будет исполняться?
Вот хороший пример для PNG картинок:
Vulnerability in PNG Processing Could Allow Remote Code Execution

«Microsoft Windows Media Player is vulnerable to a stack-based buffer overflow, caused by improper bounds checking of PNG files. By creating specially-crafted PNG image file and hosting it on a Web site or sending it to a potential victim as an email attachment, a remote attacker could overflow a buffer and execute arbitrary code on the system, once the file is opened.»
Ну точно так же и mp3 хранилища можно использовать. В тегах mp3 файлов тоже ведь можно тарить инфу. С возвращением Виталий =)
да, всем привет :)))

много в каких форматах можно тарить инфу, это точно.
slider
0
0
Интересная идея)..
Кстати, можно скрещивать jpg с rar-ом..
У WinRar-а своя метка откуда начинается файл, и ему пофиг в каком месте файла начнётся архив
Например...

1a73c66c1f25e70445e264de928fbf90.jpg
Сохраните эту картинку как (.rar)
Там где картинка предварительно обрабатывается, такое не прокатит..
даже не задумывалась над этим )
Xcode
0
0
Никто так же не отменял методы стеганографии, тут подходит LSB. Можно его модифицировать и приблизить КПД картинки как контейнера к описаному автором метода, отбросив саму суть стеганографии)).
Практическое применение найти трудно в силу ограничения на объем файла... Плюс, разве что, в неограниченом по сроку хранении.
можно раскидать по нескольким файлам, создать структуру Linked List. колличество файлов не ограничено.
Xcode
0
0
Точно) Сделать что ли, ради интереса...
на сколько применимо на практике трудно сказать, но при наличии хорошего GUI должно быть интересным. Да и задача интересная.
Есть еще опаска получить втык от того же pics.kz (а я уже получал от mazikk, когда отдизассмил их клиент и встроил у себя на сайте прямую загрузку изображений). Да и времени на это надо выделить. Но если кому действительно интересно, и готовы поддерживать морально, то я не против, опыт и в стеганографии, и в сырых сокетах есть, остальное — логика. Кстати, у pics.kz есть API?
Администрация Сервиса оставляет за собой право без уведомления удалять любые изображения, нарушающие настоящие Правила, а именно:
бессмысленные и неоптимальные изображения, напрасно расходующие ресурсы сервера;
иные изображения, размещение которых будет сочтено нарушением Правил Сервиса.

Администраторы Сервиса оставляют за собой право удалять изображения, не соответствующие Правилам.

Администрация оставляет за собой право в любой момент в одностороннем порядке изменения внести в настоящие Правила.

Ограничения
Объем одного загружаемого изображения не должен превышать 5 мегабайт;
Возможна загрузка одновременно не более 5-ти изображений;

Стоит ли связываться?)
никто никогда не даст вам никаких гарантий, если вы за это не платите. Даже если бы там не было такой пометки.
А API в КЗ нет ни у кого. Им это не выгодно.
по поводу того, стоит ли связываться, я думаю только если вам это интересно. На своём опыте скажу, что скорее всего никто этим не будет пользоваться, но интересно ведь делать, почему бы и ни сделать. Пока будете делать, возможно в голову придёт гораздо более интересная идея и т.д.

Оставьте свой комментарий

Спасибо за открытие блога в Yvision.kz! Чтобы убедиться в отсутствии спама, все комментарии новых пользователей проходят премодерацию. Соблюдение правил нашей блог-платформы ускорит ваш переход в категорию надежных пользователей, не нуждающихся в премодерации. Обязательно прочтите наши правила по указанной ссылке: Правила

Также можно нажать Ctrl+Enter

Популярные посты

Обратная сторона Астаны. Девять худших и проблемных районов столицы Казахстана

Обратная сторона Астаны. Девять худших и проблемных районов столицы Казахстана

Несмотря на то, что Астана столица, и один из самых красивых и современных городов Казахстана, здесь все равно есть места, за которые стыдно и даже как-то неудобно перед гостями.
Washington
12 янв. 2017 / 12:25
  • 20337
  • 25
Расписание Универсиады в Алматы. Что стоит посетить?

Расписание Универсиады в Алматы. Что стоит посетить?

Путеводитель по соревнованиям Универсиады с рекомендациями, какие соревнования Универсиады никак нельзя пропустить. До встречи на Универсиаде!
olympic
11 янв. 2017 / 10:40
  • 18182
  • 7
Господин министр, что означает ваша фраза «Хорошо, не открывайте, мы найдем другой способ проверить»?

Господин министр, что означает ваша фраза «Хорошо, не открывайте, мы найдем другой способ проверить»?

Это что, совет? Рекомендация? Или это угроза? Чего нам ждать? Чего нам бояться? Мы – законопослушные граждане Республики Казахстан, мы ЗА ужесточение законодательства в части борьбы с терроризмом, но при этом...
AliyaSadyrbaeva
10 янв. 2017 / 21:02
  • 15511
  • 32
Как мы «скидываемся» на красивую жизнь мажоров. Воровство пенсионных денег

Как мы «скидываемся» на красивую жизнь мажоров. Воровство пенсионных денег

Официальные спикеры КНБ РК рассказали о ходе расследования, раскрыв общественности схему, которую использовало руководство ЕНПФ для воровства 5 миллиардов тенге пенсионных накоплений.
openqazaqstan
13 янв. 2017 / 11:30
  • 13762
  • 12
«Ещё раз на те же грабли». Премьер Сагинтаев о временной регистрации

«Ещё раз на те же грабли». Премьер Сагинтаев о временной регистрации

Казахстанцы по-прежнему с нескрываемым возмущением и сарказмом комментируют нововведения в миграционное законодательство. Проблема, как это ни парадоксально, в том, что мы, казахстанцы – народ законопослушный.
openqazaqstan
12 янв. 2017 / 10:07
  • 10977
  • 26
Так и думал, что 2017-й начнется отвратительно. Каково вообще таким как я, квартирантам?

Так и думал, что 2017-й начнется отвратительно. Каково вообще таким как я, квартирантам?

В городе у меня нет совершенно никого, поэтому ни прописки, ни регистрации у меня нет, а живу я в съемной, как и многие. К сожалению, далеко не каждый человек готов прописать, хоть и временно, своего квартиранта.
MrVladimirLV
10 янв. 2017 / 15:21
  • 6807
  • 81
Наверное, я себя почувствовала человеком именно в Корее. Не в Казахстане

Наверное, я себя почувствовала человеком именно в Корее. Не в Казахстане

Если я останусь в Казахстане, то идти мне здесь некуда, пахать за копейки на госслужбе? Прожить всю жизнь в однокомнатной вместе с котом и мамой?
savira6
13 янв. 2017 / 9:44
  • 4576
  • 28
Айсулу Салгарина. Решил пойти в гости к той, что вызывает гордость за казахских девушек

Айсулу Салгарина. Решил пойти в гости к той, что вызывает гордость за казахских девушек

Прошло около 2 лет. За эти годы в моей жизни многое изменилось. И мне стало интересно, какие же изменения произошли в жизни тех, у кого я когда-то брал интервью...
DastanIskakov
14 янв. 2017 / 11:43
  • 4110
  • 4
Сейчас даже дяденьки и тетеньки в 20-27 лет живут с родителями. Безработица в Алматы

Сейчас даже дяденьки и тетеньки в 20-27 лет живут с родителями. Безработица в Алматы

Наверняка, все знают крылатую фразу Ленина "Кто не работает - тот не ест" В то время за безработицу осуждали, а кормили народ за счет предприятия - славные были времена, пусть я и застала их лишь...
DoZa
13 янв. 2017 / 9:54
  • 3669
  • 42