Avatar Speicherort

[michael24179]

Ich habe gesehen das die Avatars im öffentlichen www abgelegt werden. Persönlich finde ich es ein Risiko da User so bequem Hacks einschleusen können. Besteht die Möglichkeit die Avatars in der SQL abzulegen oder in einen nicht öffentlichen Bereich ?

 

[McAtze]

Wenn das so bequem gehen soll wundere ich mich das das bisher noch keiner gemacht hat. Wie willst du die Avatare denn in einem "nicht öffentlichen Bereich" ablegen und dann trotzdem jedem das hochladen und anschauen erlauben?

Ich muss zugeben dein Beitrag verwirrt mich ein wenig..

 

[michael24179]

Wie das geht war easy. Avatar wurde hochgeladen und über ein Befehl in php geändert. Das Avatar hatte es in sich. Seither speichere ich alles in der SQL. In ein nicht öffentliches Verzeichnis die Bilder zulegen wäre in der tat schwer. SQL wäre hingegen normal kein problem.

 

[McAtze]

Ich kann dir trotzdem nicht folgen. Wie soll denn der Befehl in PHP kommen und wie soll dieser ausgeführt werden?

Du könntest ja besonders "gefährdete" Dateitypen verbieten ..

 

[michael24179]

Du könntest ja besonders "gefährdete" Dateitypen verbieten ..

Das wurde auch gemacht. Hacker sind aber flexibel. Leider habe ich den Log nicht mehr, aber die Avatars stehen noch zur Verfügung.

Das vorgehen war eigentlich einfach, Avatar wurde als JPG hochgeladen. Anschließend wurde das Avatar direkt aufgerufen mit einer extra Befehlszeile (php%00.rar). Das Avarar hatte sich dann selbst zu PHP umgeschrieben. Damit standen alle Türen offen.

Mir ist bewußt das es durch eine Sicherheitslücke im Nginx möglich war. Diese sind auch derzeit alle geschlossen, aber man muss sich eingestehen, das es auch zukünftig Lücken geben wird und Avatars dann wieder die Möglichkeit zum Hacken bieten.

Das speichern in der SQL Datenbank wäre daher meiner Meinung nach deutlich sicherer. Die Query abfrage mehr kann ich dabei verkraften.

 

[McAtze]

Höre ich zum ersten Mal von dieser Sicherheitslücke. Schon mal bei xenforo.com angefragt deswegen?

 

[michael24179]

Es war noch unter vBulletin. Aber ein Unterschied würde es bei xenforo so nicht geben. Die Tage werde ich dazu mal bei xenforo meine Sorge vortragen.