MySQL Sicherheitslücke als Blob?

D

danielmaann

Mitglied
Hallo zusammen

Ich möchte in meiner Software die Möglichkeit haben das ein Benutzer ein Bild hochladen kann. Dies sollte als BLOB in der DB abgelegt werden. Ich kenne mich mit IT-Security nicht so aus, aber habe mal was gelesen, dass man Schadcode in Bilder binden kann (wie Trojaner mit sogenannten Binders...). Nun habe ich die befürchtung, dass ein Benutzer einen Schadcode in ein Bild einschleusen kann, welcher so in die DB abgespeichert wird. Beim Anzeigen bzw. auslesen und ausführen des BLOB's würde ja der Schadcode ausgeführt werden, oder nicht?

Kann mir jemand dazu etwas beibringen?
Falls dies in der Praxis tatsächlich möglich ist, wie könnte ich mich davon schützen?

Beste Grüsse
 
mrBrown

mrBrown

Super-Moderator
Mitarbeiter
it depends (mit der Datenbank hat das allerdings nichts zu tun...)

Wenn das Bild ein valides Bild ist und die zum Anzeigen/Bearbeiten/Whatever genutzten Programme keine Sicherheitslücken haben, ist das keine Sicherheitslücken. Nirgends wird ein Bild einfach so ausgeführt.

Wenn das allerdings zB eine Serveranwendung ist, und ein anfälliges ImageMagick zur Verarbeitung genutzt wird, und der Nutzer ein kompromittiertes Bild hochlädt, dann kann es zu Remote-Code-Exceution auf dem Server kommen.

Und analog; wenn der Server zwar sicher ist (aber nicht sinnvoll validiert), aber ein Nutzer ein kompromittiertes Bild hochlädt, welches bei einem anderem Nutzer angezeigt wird, und dieser nutzt ein anfälliges Programm, kommt es bei diesem Nutzer zur Ausführung von Schadcode.


Wie man sich schützt in Kurzform: Alle Nutzereingaben validieren, Sicherheitspatches einspielen, Server entsprechend absichern.
 
D

danielmaann

Mitglied
Also es geht darum. Der Benutzer sollte ein Bild hochladen können. Dieses Bild sollte nur vom Administrator angesehen werden können... Sprich, andere Benutzer sollten das nicht sehen. Das Bild existiert ja in der Datenbank. Das Bild wird auf dem Server (Apache) ausgeführt mit PHP jedoch in einem Browser dem Administrator angezeigt. Natürlich ist der Browser so eine Art Sandbox und die Codeexecution wird nicht auf dem Clientrechner passiert. Aber ich befürchte das der Schadcode dann auf dem Server ausgeführt wird.

Wie könnte ich das Bild validieren und prüfen ob es Schadcode frei ist?

Beste Grüsse
Dani
 
Ähnliche Java Themen
  Titel Forum Antworten Datum
krgewb Breite und Höhe von Blob Datenbankprogrammierung 7
H Oracle Resize eines Images in Java und Rückgabe des Image als BLOB an die Oracle Datebank Datenbankprogrammierung 14
H Java Class zum komprimieren von Jpeg-Images zum Einbinden in Oracle DB - Bild als blob (in und out) Datenbankprogrammierung 23
buggy84 MySQL BLOB Geschwindigkeit Datenbankprogrammierung 16
L H2 Blob Dateien in der DB komprimieren? Datenbankprogrammierung 8
L H2 Blob Spalte im Client anzeigen Datenbankprogrammierung 2
E Wie kann man das Problem mit der BLOB-Spalte lösen? Datenbankprogrammierung 1
E Wie kann ich textdateien, die als BLOB abgespeichert sind, aus der Datenbanktabelle auslesen? Datenbankprogrammierung 23
E Wie kann man BLOB-Spalten in DB2 einfügen? Datenbankprogrammierung 9
R MySQL Blob aus DB auslesen und einer Tabelle ausgeben Datenbankprogrammierung 7
J BLOB to ImageIcon? Datenbankprogrammierung 3
Kenan89 Sinnvoller URL oder BLOB? Datenbankprogrammierung 2
F H2:Wie kann man insert eine Reihe "int" wert als blob in table? Datenbankprogrammierung 12
N Leeres Blob in ein PreparedStatement eintragen Datenbankprogrammierung 2
C MySQL Fragen zu BLOB zu byte[], Date zu java.util.Date uvm. Datenbankprogrammierung 6
D Blob MimeTyp auslesen Datenbankprogrammierung 2
P MySQL Objekt aus BLOB auslesen Datenbankprogrammierung 3
M Problem Array in BLOB-Feld in DerbyDB zu speichern Datenbankprogrammierung 5
C MP3 in DB als Blob, wieder auslesen und als MP3 speichern??? Datenbankprogrammierung 8
S BLOB in Datei speichern Datenbankprogrammierung 8
S Hibernate Blob mit Stream speichern Datenbankprogrammierung 3
V PostgreSQL langsam (Blob) Datenbankprogrammierung 10
G Blob aus Oracle-Datenbank Datenbankprogrammierung 2
O Vector als Blob in Oracle Datenbank speichern Datenbankprogrammierung 3
D Insert Oracle BLOB Datenbankprogrammierung 1
B Java Derby Datenbank mit CLOB & BLOB Datenbankprogrammierung 5
J Bild aus Mysql Blob in Webseite einbinden Datenbankprogrammierung 9
H Blob erzeugen Datenbankprogrammierung 2
T Inhalt von Blob in Console ausgeben Datenbankprogrammierung 2
G Sybase IMAGE-Daten zu MySQL als BLOB schreiben. Datenbankprogrammierung 2
T Datei (Blob) mit verknüpfter Software öffnen? Datenbankprogrammierung 4
G File nach Blob konvertieren ? Datenbankprogrammierung 6
G JPEG to BLOB Datenbankprogrammierung 7
H File into blob Datenbankprogrammierung 3
A Blob in Oracle-DB einfügen (veraltete Methode) Datenbankprogrammierung 3
EagleEye Blob -> backup Datenbankprogrammierung 6
Y Problem mit Ablage einer Datei in einer Datenbank als BLOB Datenbankprogrammierung 6
O Oracle Blob in MySQL Blob umwandeln Datenbankprogrammierung 2

Ähnliche Java Themen

Aktuelle Jobs

Neue Themen


Oben