Исходное сообщение
"Раскрыты детали уязвимости в WordPress 5.0.0" Отправлено Vitaliy Blats, 22-Фев-19 12:56
> Ээээ.. а зачем вообще такой функционал - декодить картинку в код? Кто-нибудь может подсказать вменяемый юзкейс для такого? О, я тебе подскажу целых три юзкейса. Ну, в чем смысл ты понимаешь, да? У тебя в каталоге ./uploads/ лежит безобидный файлик favicon.ico, на который всем насpать, пушо это картинка. А потом в дырявом файлике темы functions.php у тебя лежит строчка @include('./uploads/favicon.ico'); или более хитропопые варианты как через GD: eval(gunzip(gd_бла_бла_бла('./uploads/favicon.ico'))) А потом: 1. Твой Hetzner тебя банит за то что твой VPS создает слишком жирную активность криптомайнером. Ты теряешь бабло на засуспенженом хостинге, а кто-то получает бабло на намайненной крипте за твой счет; 2. Твой Hetzner тебя банит за то что с твоего IP было отправлено 50000 enlargeyourpenisoв за последние 24 часа. Ты теряешь бабло на забаненном хостинге, а кому-то заплатили по 10 центов за каждый отправленный email; 3. Твой Hetzner тебя банит за то что с твоего IP был отправлен миллион ICMP-пакетов нестандартной длины кому-то на аплинк. Ты как обычно теряешь бабло, а кто-то получает 10 косарей бакинских за час DDOS'а, используя зомбей вроде твоего Вордпресса. После чего тебе дают рекавери (пушо сеть уже отключена) и ты анализируешь файл за файлом, все несколько тысяч PHP-гогнокода в поисках малваря, но не находишь его, а поискать в картинках у тебя не хватит догадливости. Вот тебе юзкейс.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> Ээээ.. а зачем вообще такой функционал - декодить картинку в код? Кто-нибудь может подсказать вменяемый юзкейс для такого? > О, я тебе подскажу целых три юзкейса. > Ну, в чем смысл ты понимаешь, да? У тебя в каталоге ./uploads/ > лежит безобидный файлик favicon.ico, на который всем насpать, пушо это картинка. > А потом в дырявом файлике темы functions.php у тебя лежит строчка > @include('./uploads/favicon.ico'); или более хитропопые варианты как через GD: eval(gunzip(gd_бла_бла_бла('./uploads/favicon.ico'))) > А потом: > 1. Твой Hetzner тебя банит за то что твой VPS создает слишком > жирную активность криптомайнером. Ты теряешь бабло на засуспенженом хостинге, а кто-то > получает бабло на намайненной крипте за твой счет; > 2. Твой Hetzner тебя банит за то что с твоего IP было > отправлено 50000 enlargeyourpenisoв за последние 24 часа. Ты теряешь бабло на > забаненном хостинге, а кому-то заплатили по 10 центов за каждый отправленный > email; > 3. Твой Hetzner тебя банит за то что с твоего IP был > отправлен миллион ICMP-пакетов нестандартной длины кому-то на аплинк. Ты как обычно > теряешь бабло, а кто-то получает 10 косарей бакинских за час DDOS'а, > используя зомбей вроде твоего Вордпресса. > После чего тебе дают рекавери (пушо сеть уже отключена) и ты анализируешь > файл за файлом, все несколько тысяч PHP-гогнокода в поисках малваря, но > не находишь его, а поискать в картинках у тебя не хватит > догадливости. Вот тебе юзкейс.
	Введите код, изображенный на картинке: