Q&A
「相手に迷惑かける」という観点はないのでしょうか。
他サイトの画像を直接自サイトにIMGタグで読み込み表示する事に脆弱性はありますでしょうか？
こちらのサーバー情報がバレる等や、画像ファイルをすり替えられた場合によるファイル読込における危険性等あれば教えてください
そのような野暮な難癖はお控え下さい
> そのような野暮な難癖はお控え下さい
「著作権侵害でふっかけられて、もしくは訴えられてもいい」覚悟はありますか？
私の言う野暮な難癖というのは
「そんなことはわかってるんですけどね」という意味です
本件に追記するべきだったかもしれませんね
サムネイル画像 og:imageの部分です
サイトのアイコンであれば、普通にサイトの宣伝にもなると思いますけどね
訴えられることもありうるでしょうけど
＞「そんなことはわかってるんですけどね」という意味です
質問内容になければ誰もそんなことは分かりません。
読むのは赤の他人です。
それにコメント見てたら分かってるように思えません。
「いいじゃん別に」というのが見え隠れしてます。
それで訴えられても自分が損するだけです。
質問編集して追記すればいいのでは？
>サイトのアイコンであれば、普通にサイトの宣伝にもなると思いますけどね
それはあなたの勝手な解釈では？
まぁ、仮に訴えられたとしたらしたで対処するだけの話です
もし著作権うんぬんでアウトであるならば、
Twitterがサムネイル画像を自サーバーに保存して加工してるのもアウトですな
かなーり甘いですね。こんな質問してしまうのも納得です。
何がいいたいんでしょう
難癖つけたいんでしょうか
不正行為に近しいことを世界に発信している意識がないのなら
「自分のことを棚に上げている」と指摘しておきます。
Twitterも不正行為ですか？
勝算と確証があるなら試しに訴えてみては？
はい？Twitterが不正なのか答えてください
「Twitterみたいな大手がやってるんだから俺も近いことやっていい」というなら大間違いです。個人なら尚更。裏側でどうなってるかまで知ってるわけじゃないのに手を出すのは危険です。
そうですね。危険性があるのはあなたの考え方そのものです。
tmsw氏はTwitterはサムネイル画像を自サーバーに保存して加工したのち公開しているとおっしゃってますよ
これは著作権違反じゃないと？
いやいや、大手がやってることは見て見ぬフリですか？
個人の私に口を出すなら猛抗議でもしたらどうですか？
あなたは正義感強いんですわな？
わざわざ上げる or ページ作成者が意図してOGPとして設定した画像を設定者の意図に沿って利用するのと、勝手な画像を直リンクするのでは、全く話が違ってきます。
はっきり仰ってください、それによってどこの馬の骨かもわからん人間の評価が下がるも糞もないでしょう
Twitterは不正サイトですか
答えて下さい
＞わざわざ上げる or ページ作成者が意図してOGPとして設定した画像を設定者の意図に沿って利用するのと、勝手な画像を直リンクするのでは、全く話が違ってきます。
私の書き込みを見たあとも、批判してたじゃないっすか
すみません、「他人のサイトの画像を自分のOGPに使う」と読んでいました。
回答3件
0
ベストアンサー
提示された条件で、画像を参照しているページに対して「どこまで悪いことができるか」はウェブセキュリティの良い練習問題になると思います。
実は、ブラウザの種類とバージョンで「できること」が変わりますが、ここではIE11ではできると想定して説明します。他のブラウザではできないことも含まれます。
画像は下記の形で表示され、example.comに悪意がある想定です。
<img src="https://example.com/foo.png">
このタグが置かれているページは下記のURLであるとします。
http://example.jp/bar.html?pid=834920483920
(1) ユーザートラッキング
foo.pngが実はPHPなどのスクリプトである場合、クッキーを出力してユーザートラッキングができます。ユーザーの氏名など個人情報までは分かりません(*1)が、匿名のユーザーAが当該のページをいつ、何回訪問したなどを取得することができます。複数ページでこの画像を表示している場合は、どの順序で訪問しているかもわかります。
ブラウザ側でサードパーティクッキーが禁止されている場合、クッキーによるトラッキングはできませんが、IPアドレスは必ず取得できるので、IPアドレスによるトラッキングは可能です。
注(*1) 同じユーザーがhttps://example.com/ のユーザーで、そちらで個人情報を入力していれば、両サイトのアクセスが紐付けされて、サイト閲覧したユーザーの氏名などがexample.com側で判明する場合はありえます。
(2)RefererヘッダによるURL漏洩
IEの場合、Refererヘッダを通じて http://example.jp/bar.html?pid=834920483920 というURLがexample.comに漏洩します。pidが変化する場合は、アクセス時のpidが漏洩します。ただし、IE以外のモダンなブラウザの最新版を使っている場合は、デフォルト設定では http://example.jp/ のみが漏洩します。これはプライバシーに配慮してブラウザのデフォルト設定が最近かわったためです。
(3)ブラウザの脆弱性をつく攻撃
imgタグでは画像の表示のみができますが、ファイルの拡張子がpngであっても、ブラウザが表示可能な範囲で他の画像形式、例えばJPEG、GIF、WebP、JPEG 2000、JPEG-XRなども表示可能です。これらの画像形式をブラウザで処理する箇所に脆弱性があれば、その脆弱性を悪用する画像を配置することができます。画像表示の脆弱性はあまりないことですが、将来発見される可能性はあり、マイナーな画像形式であれば可能性は少し高くなると思います。
後は、権利上の問題や画像の差し替えなどは既に指摘されているとおりです。
投稿2021/05/27 11:33
編集2021/05/27 11:37
総合スコア11705
拡張子が画像形式であるのにも関わらず、プログラム的なものが実行できるのは、拡張子偽装してるということですか？
.jpgだと仮定した場合にブラウザからアクセスしてプログラムを動かせる穴は未だに存在してるんですか？
最近知りましたがIMGタグにreferrerpolicy="no-referrer"というプロパティを与えれば参照元の照会は回避できるとみていいですか？
なんにせよ画像ファイルを読み込んだつもりが意図しないプログラムを読むことになってる場合以外は問題ないということでよろしいでしょうか
現代のセキュリティで、ありうるのか、一昔前の話なのかは謎ですが
ないとはいえないといわれたら
正直困りますよね
他サイトの画像を直リンできなくなります
拡張子がpngなのにPHPスクリプトとして実行されるようにするには設定で可能です。PHPの公式にもその方法が紹介されています。「拡張子偽装」という感じではありませんね。
https://www.php.net/manual/ja/security.hiding.php
直リンという考え方は誤りだと認識すればよろしいでしょうか
自サーバーに保存してから が全てですか？
こういう脅威があるということであって、それが問題になるかはサイト次第です。
それと、あくまでテクニカルな話であって、直リンクをしてよいかどうかはまた別の問題です。
IE11では起こると明記していますので、一応現役の問題です。クッキーによる問題はFirefox等でも可能です。
＞拡張子がpngなのにPHPスクリプトとして実行されるようにするには設定で可能です。PHPの公式にもその方法が紹介されています。「拡張子偽装」という感じではありませんね。
しかし別ドメインだった場合、致命的な問題は発生しないと考えていいですか？
「起こり得ること」は既に書きましたので、それが「致命的」かどうかはご自身で判断してください。
了解です
クッキーやら、IPやらは取得はできても
サーバーへの直接的なダメージは与えられないとみました（作りがへぼかったら終わるという認識です）
どうもありがとうございました
一言でいうと、あなたのウェブサーバーが被害にあうことはありません（あくまで「サーバー」ですが）が、あなたのサイトの利用者が被害にあうことはあり得る、ということです。
バックドアとか仕組まれたりしなければ、いいです
上記の問題でバックドアが仕組まれることはありませんよね？
ある意味でバックドアなのか？かもしれませんが
回答は出てました
すみません
これにて解決とさせていただきます
gzip bombによるブラウザクラッシュも可能かもしれません。
gzip + pngの2重inflateなども
はい、確かにそうですね。
0
こちらのサーバー情報がバレる等や、画像ファイルをすり替えられた場合によるファイル読込における危険性等あれば教えてください
外部サイトからのアクセスの場合だけ、画像を全く別なものに差し替えることも可能です。
投稿2021/05/27 10:30
総合スコア146018
う○この画像とか、「無断転載していますよ」という告知画像が表示されれば、（内容にもよりますが）サイトの信用は失墜することでしょう。
私はサムネイルをURLから抽出して画像ファイルとして出力するのが目的でした
この場合サーバーに１度保存をかけて出力という流れになりますか
サーバーに保存をかけると容量食うので他のサイトはどうしてるのかと考えたところです
直リンが安全であればそれが楽でいいのです
> 直リンが安全であればそれが楽でいいのです
この回答すら読んでいないのですか？
あなたの回答は、安全かどうかではなく
画像の差し替えで恥かきますよって話ですよね？
それでしたら許容範囲です
まっとうなサイトを作っていないということがわかりましたので、これ以上コメントすることはありません。
> 安全かどうかではなく画像の差し替えで恥かきますよって話ですよね？
ビジネスで行っているサイトでは、信用を失墜すれば致命的な結果になりかねません。じゅうぶん「リスク」たりうるものです。
誰もビジネスでやってるなんていってませんのでご安心下さいませ
> あなたからこんな低レベルな回答があると思いませんでした
まさか、直リンクで差し替えられるのすら許容できるほどの低レベルなサイトを作っているとは思わなかったので、このような回答となりました。
0
過去に悪意のあるコードを埋め込ませていたという事例がいくらでもありますから、
意図しない動作を自分だけでなくユーザーにまでさせてしまう恐れは十分にあると考えます。
ただ、それ以前に直リンされてるサーバが普通に迷惑だと思いますので、やってやろうなんて思わないようにしてくださいね。
投稿2021/05/27 10:05
編集2021/05/27 10:06
総合スコア97
例えばツイッターなんかですとURLを張るとサムネイル画像とサイト情報が出てくると思うのですが、
これは安全なのですか？
サムネイル画像は一度サーバーに保存してから、出力してるんでしょうか
つい最近話題になってましたが完全に安全とは言い切れないです。
が、データの容量に上限があり、それを超えるとTwitterの写真は自動に変換され、その容量が低いために悪意のあるコードが埋め込まれていたなどと言う報告は現時点では上がってないはずです。
https://github.com/DavidBuchanan314/tweetable-polyglot-png
サムネイルについては心配ありません。
画像を一度トリミングしてる時点でコードが埋め込まれたとしても壊れてます。
>サムネイル画像は一度サーバーに保存してから、出力してるんでしょうか
保存しないと何もできません
あなたの回答
tips
プレビュー
