• 68925
  • 1363
  • 83
Нравится блог?
Подписывайтесь!

Сервисы хранения изображений: только ли для изображений?

Всем известны сервисы для хранения файлов и сервисы для хранения изображений. Если в первом случае можно загружать любые файлы, то сервисы для хранения изображений имеют логичные ограничения на тип загружаемых файлов.
Но так ли это на самом деле?
Для эксперимента я воспользовался сервисом pics.kz
Если попробовать загрузить НЕ картинку, то сервис такой файл не принимает. Менять расширение на JPG или PNG тоже не помогает. Всё логично. Тогда я обратился к документации по формату PNG. Он достаточно простой, и что интересно, в него можно внедрить любую информацию, например MP3 файл или PDF документ. Но что самое главное, такой файл остаётся картинкой и как следствие, принимается сервисом pics.kz без проблем. Как впрочем и yvision.kz и image.kz.
Для примера, ниже можно увидеть 3 одинаковых картинки, хранимых на вышеперечисленных сервисах. Если вы откроете их в Notepad, то в самом низу увидите текст данной записи:



Получается, что сервисы для хранения изображений и блог платформы являются универсальными хранилищами данных.

Vitaliy Tsvayer tsvayer
5 февраля 2011, 16:57
896

Загрузка...

Комментарии

Olegon
0
0
а если у файла только header оставить от изображения, а все остальное будет файлом другого типа. тоже пропустит? думаю проверку всего файла на чужое содержимое не делают дабы не тормозить процесс загрузки файла.
нужно поэкспериментировать. Но даже без этого всё достаточно просто, скрипт для внедрения данных в картинку и считывания обратно будет занимать не больше 10 строк на Perl или Python. А на Linux скорее всего можно будет вообще обойтись командной строкой.
alch
0
0
Отличная возможность загружать вредоносный код.
Каким образом он будет исполняться?
Вот хороший пример для PNG картинок:
Vulnerability in PNG Processing Could Allow Remote Code Execution

«Microsoft Windows Media Player is vulnerable to a stack-based buffer overflow, caused by improper bounds checking of PNG files. By creating specially-crafted PNG image file and hosting it on a Web site or sending it to a potential victim as an email attachment, a remote attacker could overflow a buffer and execute arbitrary code on the system, once the file is opened.»
Ну точно так же и mp3 хранилища можно использовать. В тегах mp3 файлов тоже ведь можно тарить инфу. С возвращением Виталий =)
да, всем привет :)))

много в каких форматах можно тарить инфу, это точно.
slider
0
0
Интересная идея)..
Кстати, можно скрещивать jpg с rar-ом..
У WinRar-а своя метка откуда начинается файл, и ему пофиг в каком месте файла начнётся архив
Например...

1a73c66c1f25e70445e264de928fbf90.jpg
Сохраните эту картинку как (.rar)
Там где картинка предварительно обрабатывается, такое не прокатит..
даже не задумывалась над этим )
Xcode
0
0
Никто так же не отменял методы стеганографии, тут подходит LSB. Можно его модифицировать и приблизить КПД картинки как контейнера к описаному автором метода, отбросив саму суть стеганографии)).
Практическое применение найти трудно в силу ограничения на объем файла... Плюс, разве что, в неограниченом по сроку хранении.
можно раскидать по нескольким файлам, создать структуру Linked List. колличество файлов не ограничено.
Xcode
0
0
Точно) Сделать что ли, ради интереса...
на сколько применимо на практике трудно сказать, но при наличии хорошего GUI должно быть интересным. Да и задача интересная.
Есть еще опаска получить втык от того же pics.kz (а я уже получал от mazikk, когда отдизассмил их клиент и встроил у себя на сайте прямую загрузку изображений). Да и времени на это надо выделить. Но если кому действительно интересно, и готовы поддерживать морально, то я не против, опыт и в стеганографии, и в сырых сокетах есть, остальное — логика. Кстати, у pics.kz есть API?
Администрация Сервиса оставляет за собой право без уведомления удалять любые изображения, нарушающие настоящие Правила, а именно:
бессмысленные и неоптимальные изображения, напрасно расходующие ресурсы сервера;
иные изображения, размещение которых будет сочтено нарушением Правил Сервиса.

Администраторы Сервиса оставляют за собой право удалять изображения, не соответствующие Правилам.

Администрация оставляет за собой право в любой момент в одностороннем порядке изменения внести в настоящие Правила.

Ограничения
Объем одного загружаемого изображения не должен превышать 5 мегабайт;
Возможна загрузка одновременно не более 5-ти изображений;

Стоит ли связываться?)
никто никогда не даст вам никаких гарантий, если вы за это не платите. Даже если бы там не было такой пометки.
А API в КЗ нет ни у кого. Им это не выгодно.
по поводу того, стоит ли связываться, я думаю только если вам это интересно. На своём опыте скажу, что скорее всего никто этим не будет пользоваться, но интересно ведь делать, почему бы и ни сделать. Пока будете делать, возможно в голову придёт гораздо более интересная идея и т.д.

Оставьте свой комментарий

Спасибо за открытие блога в Yvision.kz! Чтобы убедиться в отсутствии спама, все комментарии новых пользователей проходят премодерацию. Соблюдение правил нашей блог-платформы ускорит ваш переход в категорию надежных пользователей, не нуждающихся в премодерации. Обязательно прочтите наши правила по указанной ссылке: Правила

Также можно нажать Ctrl+Enter

Популярные посты

Только на 10-й раз он смог поступить в Кембридж! Герой с Кармакшинского района

Только на 10-й раз он смог поступить в Кембридж! Герой с Кармакшинского района

Свыше 10 известных университетов приглашают его обучаться зарубежом, но выбор будет оставаться за Сакеном. Он выберет обучение The University of Edinburgh и отправляется в эту удивительную страну...
socium_kzo
30 нояб. 2016 / 11:06
  • 10192
  • 8
Кто хочет стать тоқал? Замужние осуждают их, но не смотрят в корень

Кто хочет стать тоқал? Замужние осуждают их, но не смотрят в корень

Ведь одинокие женщины тоже нуждаются в сексе и не все из них имеют устойчивые моральные принципы. Я за институт многоженства не в том понимании, чтобы брать в жены молодых 18-25 летних девушек...
Zhannamakey
26 нояб. 2016 / 12:52
  • 4620
  • 61
Взгляд со стороны: Назарбаев глазами кыргыза

Взгляд со стороны: Назарбаев глазами кыргыза

В чем уникальность этой личности? В чем его успех или провалы? Эти вопросы требуют глубокой аналитики и исследований. Я же хочу рассказать о Нурсултане Абишевиче глазами рядового кыргыза или...
maxes
1 дек. 2016 / 8:05
  • 3659
  • 13
О переименовании столицы: Казнет не зря взорвался едкими комментариями

О переименовании столицы: Казнет не зря взорвался едкими комментариями

Сеть облетело очень символичное видео, где г-ну Султанову в ходе пресс-конференции прямо задают этот вопрос. «Вы советовались с народом?!» – спрашивают его журналисты. На что депутат так и не смог вразумительно ответить.
openqazaqstan
28 нояб. 2016 / 14:35
  • 3266
  • 15
Когда на тебя смотрят как на говно. На работе многие считали, что они выше меня уровнем

Когда на тебя смотрят как на говно. На работе многие считали, что они выше меня уровнем

Дело было летом 2012 года. Мне было почти 20 лет, жил я от сессии до сессии довольно весело. В голове машины, клубы, тёлки. Жизнь размеренная и неторопливая. Вдруг мне приходит в голову идея...
almatinec_92
28 нояб. 2016 / 16:57
Молчание врачей. Дети ЮКО, заражённые ВИЧ 10-11 лет назад, узнают о диагнозе-приговоре

Молчание врачей. Дети ЮКО, заражённые ВИЧ 10-11 лет назад, узнают о диагнозе-приговоре

Как сообщают новостные издания, в ближайшее время в Южном Казахстане 102 детям в возрасте 11-12 лет сообщат об их страшном диагнозе. Все эти дети были заражены ВИЧ, причём большинство было инфицировано по вине врачей.
openqazaqstan
вчера / 13:57
  • 2764
  • 1
Мой личный опыт использования Astra Plat: мелочи в моем кармане заметно стало меньше

Мой личный опыт использования Astra Plat: мелочи в моем кармане заметно стало меньше

Давно ждал запуска электронного билетирования в общественном транспорте Астаны. В ноябре 2016 года этот день настал. Мой опыт насчитывает последние 2 недели и мне есть чем поделиться. Она не...
iamYerlan
1 дек. 2016 / 15:24
  • 2692
  • 10
Аэропорт Схипхол и Алматы. Смотришь на это и ощущение, что мы лет на тридцать отстали

Аэропорт Схипхол и Алматы. Смотришь на это и ощущение, что мы лет на тридцать отстали

Недавно пролетал через аэропорт Амстердама - Схипхол. Так как улетал из аэропорта Алматы, то не мог не начать сравнивать эти аэропорты.
Superkurt
30 нояб. 2016 / 10:09
  • 2818
  • 12
Понять и простить: почему большинство стран бывшего СССР отказалось от амнистий

Понять и простить: почему большинство стран бывшего СССР отказалось от амнистий

Президент Назарбаев предложил амнистию для совершивших преступления небольшой тяжести несовершеннолетних, пожилых, женщин и других социально уязвимых категорий осуждённых
openqazaqstan
30 нояб. 2016 / 13:45
  • 2665
  • 19