Image Upload Sicherheit - Benutzerprofil

Question

wir müssen ein Feature-Benutzerprofil Image Upload in unserer Webanwendung implementieren. Der Benutzer kann sein Profilbild hochladen.

Nach dem Hochladen des Images wird es in DB2 DB gespeichert. Es wird nur für den Benutzer gerendert, der das Image nach der Anmeldung hochgeladen hat. Technologie-Stack -> J2EE, AIX, DB2.

Wir haben eine seltsame Beschwerde von unserer Sicherheitsabteilung, dass diese Funktion gelöscht werden muss, da der Benutzer einen Virus hochladen kann und dies den Server infizieren wird!

Ich verstehe nicht, wie ein Benutzer den Virus hochladen wird, am Ende des Tages ist der Virus ein Programm, das ausgeführt werden muss, oder? zweite Sache, die Plattform ist UNIX-AIX ,,, selbst wenn Benutzer eine Malware hochgeladen wird der Server nicht infiziert werden, oder? Letzte Sache, gibt es eine Möglichkeit, dass Benutzer von XSS infiziert werden, wenn eine JS-Datei anstelle von Bild hochgeladen wird, aber ich kann sehen, dass dies in unserem Fall nicht gültig ist, da nur der Benutzer das Bild hochladen kann und es wird gerendert nur für den Benutzer.

Ist mein Verständnis richtig?

Answer 1

Nein, es ist tatsächlich möglich, ausführbaren Code in Bilddateien auszublenden. Und wenn der Benutzer das Bild rendert, ist es abhängig von der Serverkonfiguration möglich, dass der Code innerhalb des Bildes ausgeführt werden kann. Siehe zum Beispiel http://hackaday.com/2014/11/15/hiding-executable-javascript-in-images-that-pass-validation/ Und in Google für gif ausführbaren suchen, png ausführbare usw.

Ich habe Beweise Konzepte gesehen, die (auch rm erlauben, ausführbare Windows-Dateien wie diese http://www.codeproject.com/Articles/9791/Hiding-EXE-Data-Within-GIF-Data, Batch-Befehle und andere Sachen für Linux laufen - fr *), PHP-Code und viele andere.

Sie müssen entweder das Bild überprüfen oder sicherstellen, dass das Bild in ein sicheres Format konvertiert wird, bevor es gerendert wird.