小心,这诡异的图片很可能要了你服务器的命!

小心,这诡异的图片很可能要了你服务器的命!_第1张图片

最近各种互联网网站的图片上传等功能成了黑客重点关注对象,因为在一个特殊的场景下,这些功能可以轻易秒杀对方网站的服务器控制权!比如传一张图就给服务器关机,或执行 “rm -fr /”,或窃取用户敏感数据等,而造成这些后果的只是一张特殊的图片…

啥是ImageMagick ?

ImageMagick 是一款功能强大、稳定并开源的图片处理库(类似库还有gd等),可以读、写处理几乎所有常见的图片格式,网站程序可以利用ImageMagick 对图片进行瘦身、旋转、锐化以及其他特效处理操作因 ImageMagick 处理效率较优,被很多企业与建站程序开发者喜爱,比如 PHP 的imagick 扩展就依赖ImageMagick。网站中常见的场景比如用户头像上传,照片二次编辑,图片自动化瘦身等地方就很可能调用该扩展。

小心,这诡异的图片很可能要了你服务器的命!_第2张图片

就在 5月3日, ImageMagick 的官方披露称,目前提供给用户使用的程序存在一处远程命令执行漏洞(CVE-2016–3714),当其处理的上传图片带有恶意攻击代码时,就可以远程执行任意代码&命令,获取服务器的操作权限。

Mail.Ru安全团队在4月21日发现了CVE-2016–3714。4月30日,ImageMagic官方发布了新版本6.9.3-9,但没有完全修复漏洞。因此,到目前为止,官方仍未有修复版本推出。

临时防护建议(by imagetragick.com):

使用策略文件暂时禁用ImageMagick,可在 “/etc/ImageMagick/policy.xml” 文件中添加如下代码:

详见官方建议:ImageMagick Security Issue

利用方式也非常简单,黑客只需上传一张恶意图片就可以对服务器上的imagick扩展进行攻击,得手后就可以直接在网站服务器上执行任意命令。值得注意的是即使图片上传失败,imagick扩展也可能参与到了程序处理流程中,所以攻击仍会成功。

上传恶意图片,可能会提示错误

小心,这诡异的图片很可能要了你服务器的命!_第3张图片

存在漏洞即可获取到服务器权限

小心,这诡异的图片很可能要了你服务器的命!_第4张图片

目前漏洞没有大规模爆发,但仍然会给黑客意想不到的“惊喜”,在一些大型互联网企业的网络环境中悄悄的撕开一个入口。另外该漏洞也可以用来对一些云计算平台的“沙盒”权限限制进行绕过,获取到其他用户的文件或数据信息。

你可能感兴趣的:(小心,这诡异的图片很可能要了你服务器的命!)