רוטר - שאלה לגבי אבטחה, PHP & cURL

יומן פעילות	לוח שנה	מבזקי חדשות	תקנון	RSS	כותרות	כותרות לפי תגובה	ניקוי קוקיז	IP	להורדת אפליקציה
eBay	AliExpress	GearBest	Amazon	Booking	Kiwi	SkyScanner	Trip Advisor

"שאלה לגבי אבטחה, PHP & cURL"

גירסת הדפסה

קבוצות דיון פיתוח, תיכנות ובניית אתרים נושא #22241	מנהל סגן המנהל מפקח Winner צל"ש מומחה

אשכול מספר 22241

Bonito
חבר מתאריך 22.9.09
14859 הודעות

15:02 23.08.18

שאלה לגבי אבטחה, PHP & cURL

יש לי עמוד שהיוזר יכול לעצב סוג של גלויה לרכב, עכשיו אני מאפשר לו להדביק לינק לתמונה מהרשת (בלי להלעות אליי לשרת, פשוט לינק png\jpeg וכו').
כדי לאפשר יוזר לשמור את הdiv השתמשתי בhtml2canvas שיוצר את התמונה. נוצרה לי בעיית CORS ברוב המקרים שהיוזר שם תמונה ובעצם זה מוריד לו את הגלויה ללא התמונה שהוא שם.
כדי לפתור את זה השתמשתי ב html2canvas proxy כדי להמיר את התמונה לBASE64, השאלה שלי האם יש סיכון מסוים להריץ CURL שמגיע מהיוזר? (כמו PNG ששוקל 200 TB או קוד זדוני או משהו אחר שאני לא מכיר)
אני מניח שהכי בטוח יהיה לשים את זה על שרת נפרד בלי הרשאות בכלל ולוודא שזה תמונה עם GD LIB אבל זה נשמע לי יותר מדי בשביל דבר כל כך פשוט.
הקוד:
https://pastebin.com/PrAW0wvb

תודה

שתף

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

האשכול	מחבר	תאריך כתיבה	מספר
אף אחד לא יודע או שאף אחד לא בטוח? עדיין צריך לוודא שאני לא עושה פה שטויות :(	Bonito	28.08.18 14:15	1
ניסית להמיר לbase64 בjs?	משה הלולן	28.08.18 15:08	2
כן אבל תהיה לך בעיית origin עם רוב האתרים	Bonito	28.08.18 16:00	3
אתה לא חייב לבדוק את זה אחרי העלאה לשרת נפרד	sza	29.08.18 12:55	4
+1, הייתי גם קורא את ה-MAGIC בבקשה נפרדת כדי לוודא שזו אכן תמונה	כובען	29.08.18 13:39	5
תודה, הוספתי את CURLOPT_MAXFILESIZE ובכל מקרה לקחתי שרת של 5 דולר	Bonito	29.08.18 20:47	6
נהדר, בקשר לשרת	sza	31.08.18 13:34	7

Bonito
חבר מתאריך 22.9.09
14859 הודעות

14:15 28.08.18

1. אף אחד לא יודע או שאף אחד לא בטוח? עדיין צריך לוודא שאני לא עושה פה שטויות :(
בתגובה להודעה מספר 0

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

משה הלולן

חבר מתאריך 11.6.13
4818 הודעות, 8 פידבק

15:08 28.08.18

2. ניסית להמיר לbase64 בjs?
בתגובה להודעה מספר 1

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Bonito
חבר מתאריך 22.9.09
14859 הודעות

16:00 28.08.18

3. כן אבל תהיה לך בעיית origin עם רוב האתרים
בתגובה להודעה מספר 2

No 'Access-Control-Allow-Origin' header is present on the requested resource. Origin .... is therefore not allowed access.

הדרך היחידה לעקוף את זה זה עם פרוקסי לפי מה אני יודע

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

sza

חבר מתאריך 26.4.02
12357 הודעות, 22 פידבק

12:55 29.08.18

4. אתה לא חייב לבדוק את זה אחרי העלאה לשרת נפרד
בתגובה להודעה מספר 3

ערכתי לאחרונה בתאריך 29.08.18 בשעה 15:22 בברכה, sza

אתה יכול לבדוק גם על הקובץ TEMP שעלה לשרת לפני שמירה על הקשיח.
בנוסף, אתה יכול להגביל את גודל הקובץ המקסימלי להעלאה בקונפיגורציה של curl CURLOPT_MAXFILESIZE כאמצעי אבטחה נוסף.
בנוסף, אני הייתי מחזיר בסקריפט את התמונה עצמה, לא רואה את היתרון בלהחזיר את המידע בbase64, אבל זה לא באמת משנה.

צחי.

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

כובען

חבר מתאריך 2.3.10
24350 הודעות, 21 פידבק

13:39 29.08.18

5. +1, הייתי גם קורא את ה-MAGIC בבקשה נפרדת כדי לוודא שזו אכן תמונה
בתגובה להודעה מספר 4

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Bonito
חבר מתאריך 22.9.09
14859 הודעות

20:47 29.08.18

6. תודה, הוספתי את CURLOPT_MAXFILESIZE ובכל מקרה לקחתי שרת של 5 דולר
בתגובה להודעה מספר 4

שלא קשור לכלום שיעשה את ההמרה. עובד טוב ויש לי ראש שקט

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

sza

חבר מתאריך 26.4.02
12357 הודעות, 22 פידבק

13:34 31.08.18

7. נהדר, בקשר לשרת
בתגובה להודעה מספר 6

לא יודע את השימוש, החשיבות והיקף ביצוע הפעולה, אבל על פניו נשמע לי קצת OVERKILL בשביל הפעולה שאתה מבצע...
בכל מקרה בהצלחה רבה

צחי.

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד