¿Pasar imagen a hexa?

juanmvilla · #1 (**permalink**) 08/06/2011, 10:05

Hola, como va?
Miren, mi problema es el siguiente, tengo un compañero que estudia seguridad en informatica y me busco defectos en mi pagina. Subio archivos php disfrazados como jpg, los ejecuto y entro al servidor. Entonces me dijo que eso lo soluciono pasando la imagen a hexa y verificando que los tres primeros digitos digan JPG o lo que fuere... ahora, no encuentro forma de pasar la imagen a hexa, como se puede hacer con php? soy novato!
gracias

iviamontes · #2 (**permalink**) 08/06/2011, 10:08

para para !!!, y que es lo que haces con los archivos que subes ????

juanmvilla · #3 (**permalink**) 08/06/2011, 10:32

los guardo en el directorio, es decir creo una carpeta y la guardo alli, en mi directorio

iviamontes · #4 (**permalink**) 08/06/2011, 10:36

pudieras pasar el codigo que te pasaron dentro de la imagen falsa ???
pq hacer esto

move_uploaded_file($tempFile,$targetFile);

no ejecuta ningun codigo

juanmvilla · #5 (**permalink**) 08/06/2011, 10:40

no, a ver si me explico bien, el subia una "imagen" que en realidad era codigo php, una vez subido, accedía a esa "imagen". Claro, cuando la abría, se ejecutaba el script.... y hacia todo lo que explique antes... pero eso es solo la intro. yo quiero saber como hacer para ver la imagen como hexadecimales xD

GatorV · #6 (**permalink**) 08/06/2011, 10:59

Puedes usar unpack() para abrir la información binaria de la imagen.

Saludos.

rikardoz · #7 (**permalink**) 08/06/2011, 11:04

http://www.forosdelweb.com/f18/tutor...inario-127775/ y con respecto creo que hay otra forma de parchar eso, yo tambien tengo un amigo sube un bug en formato de una imagen y lo ejecuta atravez de un shell muchos sitios tienen ese BUG asi que tranquilo no eres el unico xD

iviamontes · #8 (**permalink**) 08/06/2011, 11:08

y como resolvemos esto ???

GatorV · #9 (**permalink**) 08/06/2011, 11:09

Sí la forma correcta recide en código + configuración, es decir que tu webserver solo ejecute archivos con terminación .php, y que solamente se ejecute usando el handler, ya que si suben una imagen donde las primeras lineas sean #/usr/bin/php se va a intentar ejecutar (CGI).

Desde código siempre comprueba usando getimagesize() para ver el tipo de imagen, si te devuelve false puede que no sea una imagen.

Por último evita guardar lo que subas en directorios accesibles por wwwroot, es mejor usar un archivo php para entrar y leer la imagen y luego hacer el stream al browser.

Saludos.

iviamontes · #10 (**permalink**) 08/06/2011, 11:11

hmm, así hago yo y lo hacía bien sin saberlo, graicas gatorV