• 69566
  • 1363
  • 83
Нравится блог?
Подписывайтесь!

Сервисы хранения изображений: только ли для изображений?

Всем известны сервисы для хранения файлов и сервисы для хранения изображений. Если в первом случае можно загружать любые файлы, то сервисы для хранения изображений имеют логичные ограничения на тип загружаемых файлов.
Но так ли это на самом деле?
Для эксперимента я воспользовался сервисом pics.kz
Если попробовать загрузить НЕ картинку, то сервис такой файл не принимает. Менять расширение на JPG или PNG тоже не помогает. Всё логично. Тогда я обратился к документации по формату PNG. Он достаточно простой, и что интересно, в него можно внедрить любую информацию, например MP3 файл или PDF документ. Но что самое главное, такой файл остаётся картинкой и как следствие, принимается сервисом pics.kz без проблем. Как впрочем и yvision.kz и image.kz.
Для примера, ниже можно увидеть 3 одинаковых картинки, хранимых на вышеперечисленных сервисах. Если вы откроете их в Notepad, то в самом низу увидите текст данной записи:



Получается, что сервисы для хранения изображений и блог платформы являются универсальными хранилищами данных.

Vitaliy Tsvayer tsvayer
5 февраля 2011, 16:57
914

Загрузка...
Loading...

Комментарии

Olegon
0
0
а если у файла только header оставить от изображения, а все остальное будет файлом другого типа. тоже пропустит? думаю проверку всего файла на чужое содержимое не делают дабы не тормозить процесс загрузки файла.
нужно поэкспериментировать. Но даже без этого всё достаточно просто, скрипт для внедрения данных в картинку и считывания обратно будет занимать не больше 10 строк на Perl или Python. А на Linux скорее всего можно будет вообще обойтись командной строкой.
alch
0
0
Отличная возможность загружать вредоносный код.
Каким образом он будет исполняться?
Вот хороший пример для PNG картинок:
Vulnerability in PNG Processing Could Allow Remote Code Execution

«Microsoft Windows Media Player is vulnerable to a stack-based buffer overflow, caused by improper bounds checking of PNG files. By creating specially-crafted PNG image file and hosting it on a Web site or sending it to a potential victim as an email attachment, a remote attacker could overflow a buffer and execute arbitrary code on the system, once the file is opened.»
Ну точно так же и mp3 хранилища можно использовать. В тегах mp3 файлов тоже ведь можно тарить инфу. С возвращением Виталий =)
да, всем привет :)))

много в каких форматах можно тарить инфу, это точно.
slider
0
0
Интересная идея)..
Кстати, можно скрещивать jpg с rar-ом..
У WinRar-а своя метка откуда начинается файл, и ему пофиг в каком месте файла начнётся архив
Например...

1a73c66c1f25e70445e264de928fbf90.jpg
Сохраните эту картинку как (.rar)
Там где картинка предварительно обрабатывается, такое не прокатит..
даже не задумывалась над этим )
Xcode
0
0
Никто так же не отменял методы стеганографии, тут подходит LSB. Можно его модифицировать и приблизить КПД картинки как контейнера к описаному автором метода, отбросив саму суть стеганографии)).
Практическое применение найти трудно в силу ограничения на объем файла... Плюс, разве что, в неограниченом по сроку хранении.
можно раскидать по нескольким файлам, создать структуру Linked List. колличество файлов не ограничено.
Xcode
0
0
Точно) Сделать что ли, ради интереса...
на сколько применимо на практике трудно сказать, но при наличии хорошего GUI должно быть интересным. Да и задача интересная.
Есть еще опаска получить втык от того же pics.kz (а я уже получал от mazikk, когда отдизассмил их клиент и встроил у себя на сайте прямую загрузку изображений). Да и времени на это надо выделить. Но если кому действительно интересно, и готовы поддерживать морально, то я не против, опыт и в стеганографии, и в сырых сокетах есть, остальное — логика. Кстати, у pics.kz есть API?
Администрация Сервиса оставляет за собой право без уведомления удалять любые изображения, нарушающие настоящие Правила, а именно:
бессмысленные и неоптимальные изображения, напрасно расходующие ресурсы сервера;
иные изображения, размещение которых будет сочтено нарушением Правил Сервиса.

Администраторы Сервиса оставляют за собой право удалять изображения, не соответствующие Правилам.

Администрация оставляет за собой право в любой момент в одностороннем порядке изменения внести в настоящие Правила.

Ограничения
Объем одного загружаемого изображения не должен превышать 5 мегабайт;
Возможна загрузка одновременно не более 5-ти изображений;

Стоит ли связываться?)
никто никогда не даст вам никаких гарантий, если вы за это не платите. Даже если бы там не было такой пометки.
А API в КЗ нет ни у кого. Им это не выгодно.
по поводу того, стоит ли связываться, я думаю только если вам это интересно. На своём опыте скажу, что скорее всего никто этим не будет пользоваться, но интересно ведь делать, почему бы и ни сделать. Пока будете делать, возможно в голову придёт гораздо более интересная идея и т.д.

Оставьте свой комментарий

Спасибо за открытие блога в Yvision.kz! Чтобы убедиться в отсутствии спама, все комментарии новых пользователей проходят премодерацию. Соблюдение правил нашей блог-платформы ускорит ваш переход в категорию надежных пользователей, не нуждающихся в премодерации. Обязательно прочтите наши правила по указанной ссылке: Правила

Также можно нажать Ctrl+Enter

Популярные посты

Школа High Tech High – дети здесь самостоятельны так же, как и профессионалы в офисах

Школа High Tech High – дети здесь самостоятельны так же, как и профессионалы в офисах

Известный казахстанский бизнесмен становится первопроходцем и создает школу, о которой можно только мечтать. То, что мы, как взрослые, делаем в бизнесе, дети будут делать в этой школе.
Zhumanova
24 апр. 2017 / 16:29
  • 17798
  • 3
Как выбрать новостройку в Алматы: инсайты, критерии и личный опыт

Как выбрать новостройку в Алматы: инсайты, критерии и личный опыт

Я прекрасно понимаю тех, кто долго ищет подходящую квартиру - сама искала, потратила на поиск 1,5 года. Что, прежде всего, повлияло на мой выбор при покупке квартиры в новостройке Алматы?
Zhumanova
21 апр. 2017 / 10:04
  • 3647
  • 12
«Третья мировая война начнётся в мае 2017 года» – провидец из Португалии

«Третья мировая война начнётся в мае 2017 года» – провидец из Португалии

Провидец из Португалии по имени Горацио Вильегас считает, что новая мировая война состоится уже в текущем году. Считается, что португалец два года назад объявил, что Трамп станет президентом.
Seattle
21 апр. 2017 / 15:33
  • 3414
  • 12
«А ты покушала?» или Как завоевать сердце женщины простой заботой

«А ты покушала?» или Как завоевать сердце женщины простой заботой

Так как опыт хождения по свиданиям у меня немаленький, да и с интуицией давно дружу, я быстро отсеиваю тех, с кем будут проблемы. Как я это определяю? Очень просто.
Bonittta
22 апр. 2017 / 14:10
Кому в Казахстане жить хорошо? Почему мы остаёмся в топ-5 стран мира по числу самоубийств

Кому в Казахстане жить хорошо? Почему мы остаёмся в топ-5 стран мира по числу самоубийств

Всё ли так хорошо у жителей Казахстана? Почему-то наша страна сохраняет твёрдые позиции в первых строчках мировых рейтингов по числу самоубийств.
openqazaqstan
24 апр. 2017 / 16:54
  • 3039
  • 16
Депутат сената Айтимова: «Не нужно критиковать депутатов, так как вы сами их избирали»

Депутат сената Айтимова: «Не нужно критиковать депутатов, так как вы сами их избирали»

Наши депутаты известны не достижениями и работой, а своими высказываниями. Сегодня в СМИ вышла новость, где депутат сената Бырганым Айтимова ответила на критику народа.
tala03
20 апр. 2017 / 13:44
  • 2537
  • 20
Каждую ночь я жду его. Почти каждую ночь он оправдывает мои ожидания

Каждую ночь я жду его. Почти каждую ночь он оправдывает мои ожидания

Каждую ночь я жду его. Такая уж у него работа, он приходит поздно. Но почти каждую ночь он оправдывает мои ожидания. Когда его долго нет, признаюсь, я начинаю нервничать. Названивать и писать смс-ки...
DominaOmnium
21 апр. 2017 / 2:25
  • 2321
  • 11
Атбасарская дамба: кто так красиво сэкономил 137 миллионов?

Атбасарская дамба: кто так красиво сэкономил 137 миллионов?

История с разрушенной атбасарской плотиной получила интригующее продолжение. На официальном уровне говорят о 200 млн тенге, в то время как районный аким сообщил, что дамбу строили совсем за другие деньги.
openqazaqstan
20 апр. 2017 / 15:10
  • 2134
  • 14
Советы бывалого: выбираем надежную систему денежных переводов и хранения денег

Советы бывалого: выбираем надежную систему денежных переводов и хранения денег

Какую систему выбрать для денежных переводов внутри СНГ и как избежать потерь при девальвации. В общем, берегите свои кровно заработанные, помните...
Pablo13
20 апр. 2017 / 16:00
  • 2135
  • 19