ImageMagick 严重漏洞导致大量网站面临被黑风险
haoteby 2025-01-12 15:11 1 浏览
两位俄罗斯的安全研究人员刚刚在著名的图像处理库 ImageMagick 中发现了严重的安全漏洞。ImageMagick 用在大量的网站中，所以这个发现的零日漏洞一举将不计其数的网站暴露在安全攻击面前。
该漏洞被称之为“ImageTragick”，CVE 编号是 CVE-2016-3714。这个安全漏洞影响极其广泛，因为 ImageMagick 是除了 GD 之外使用最多的图像处理库，被广泛用于各种语言的图像处理，比如 PHP、Java、Python、Ruby 等等。许多开源软件，比如 WordPress、Drupal、Discuz 等都使用了它的图像处理功能。
通过 ImageMagick 的漏洞可以黑掉网站
据两位研究人员称，ImageMagick 中有多个安全缺陷，但是这个漏洞会导致那些允许用户上传图片（比如会员头像）的网站受到恶意制作的图片的攻击。
目前这个零日漏洞已经被 ImageMagick 项目所证实，但是尚未有修复版本发布，需要等到这个周末才能释出。不过，该项目提供了一些可以缓解该风险的方法。更多的缓解措施，可以参考ImageTragick 网站上的相关说明。
目前已经出现了验证该漏洞的 PoC，比如这个和另一个。
攻击者只需要找到能够上传图片的网站就行了
ImageMagick 是很多图像处理库和模块的基础，大量的编程语言都使用它来处理图像，比如 PHP、 Java、 Ruby、 JavaScript/Node.js 等等，而只要是用这些语言开发的网站就处于安全风险之中。
而唯一的条件就是网站允许用户上传图片（比如用户头像）并使用 ImageMagick 相关的库来处理它。
研究人员建议，要对上传的图片文件进行文件格式检查，比如通过 Magic Byte 来判断文件类型。Magic Byte 是一种通过文件头部的特定字节来判断文件类型的机制。
通过该漏洞，攻击者只需要构造一个特殊的文件，伪造成图片上传到服务器，服务器就会执行其中的任意代码，这相当于将整个网站的权限都交给了攻击者。
请在相应的补丁出来请先做防御性的缓解策略，并在更新版本出来后尽快更新。
- 上一篇：图片分析简介 ?
- 下一篇：把 PDF 文件导出为图像的免费工具
相关推荐
- 用户界面干货盘点
-
为了解决大家找资源难的问题，EVGET特别开辟每周盘点用户界面干货的专栏，一网打尽热门的界面资讯、Demo示例、版本升级及下载、移动Web开发，以及各种UI神器推荐。更多资源及工具也可以在用户界面专题...
- 不仅仅是创意，26款科技小玩意
-
新科技不断在卖场出现，总是吸引着消费者的眼球。许多很棒的科技小玩意儿被发明，手机、平板、手提电脑、游戏主机、甚至是3D打印都适用。现在的初创公司已经发正在让21世纪打破各种科技壁垒障碍。本文收集26...
- FastReport.Net报表设计器如何连接到SQLCe
-
MicrosoftSQLServerCompactEdition是一个简单的本地关系数据库，不需要安装，并且已与数据库文件建立连接。您不需要管理员权限即可使用基础功能。您也只能“密码”基础功能...
- 2015年最值得关注的8款用户界面新品
-
软件界面开发解决方案这一块一直以来是慧都控件(EVGET)的强项，我们有400多款用户界面产品，250多款图表报表产品，此外还提供专业的软件界面定制开发服务，其中DevExpress定制开发、甘特图定...
- 小贴士:安装TBarCode office的注意事项和相关资源
-
TBarCodeoffice是一款适用于MicrosoftWord2007、2010等版本，具有强大功能的条码插件。在这里我们介绍一下安装TBarCodeoffice的注意事项和相关资源。安装...
- 初学者不容错过的修复Bug小技巧
-
Bug的发生，我想这是每个开发人员几乎每天都要面对的问题，包括历史上非常有名的编程人员，他们依旧要面对Bug。成为一个熟练的程序员并不意味着永远不会犯错误，而是擅于发现错误并能很好地修正错误。当你刚开...
- 【推荐】一款基于 .NET 开源的支持多厂区、多项目级的MOM/MES系统
-
如果您对源码&技术感兴趣，请点赞+收藏+转发+关注，大家的支持是我分享最大的动力！！！项目介绍tmom是一款基于.NET开源、通用的生产制造系统，支持多厂区/多项目级的MOM/MES系统，计划排程...
- 你不可不知的10个Github功能
-
Github让全世界的开发人员、设计人员可以在一起工作交流。Github不仅提供大量开源项目、编程语言代码，他也发布过Windows和OSX桌面应用，可以让我们在工作中无缝集成Github。...
- Fastreport.Net用户手册(十四):文本编辑
-
编辑对象的文本，只需双击文本内容，然后会弹出一个文本编辑器。在编辑器右方有一个可以添加至文本中的数据树组件。可以通过鼠标拖拽该组件到需要的地方。在文本中嵌入该组件的另一个方法是双击该组件，然后该组件将...
- 火狐浏览器开发者专版上手体验
-
当Mozilla宣布FirefoxDeveloperEdition，我想不少开发者都很高兴，因为第一个大型开发者专用浏览器诞生了。既然是开发者专用版，那么和普通版本肯定是不一样的。早已经迫不及待...
- FastReport.Net 2015.3.3 优化了报表解析器
-
FastReport.Net2015.3.3于近日正式发布。点击FastReport.Net2015.3.3下载试用FastReport.Net最新版本。[Core][Exports]重写保存在...
- 改变上网体验:10个超赞的Google Chrome扩展
-
你使用谷歌浏览器浏览网页吗？其实，全世界数以百万的用户都喜欢使用GoogleChrome浏览网页，这也促使其成为全球使用量第二大的Web浏览器。GoogleChrome浏览器具有快速、干净的页面，...
- 如何在 FastReport Online Designer 中处理报表的 5 个函数
-
FastReports产品的时代并没有停滞不前。每个月都会添加新的函数和对象，并改进和优化当前的代码。FastReportOnlineDesigner...
- Winform应用界面开发技术特点图解
-
整理一下自己之前的Winform开发要点，以图文的方式展示一些关键性的技术特点，总结一下。...
- 跨平台的可视化Web报表设计器-FastReport Online Designer
-
好消息！FastReportOnlineDesigner现在作为一个独立的应用程序发布啦！此前作为FastReport.Net的专业版的一部分的在线设计测试版，现在可以单独或作为FastRepor...