Форум PHP

прикрепленный файл-архив в котором находится картинка, распакуйте архив, и картинку попробуйте открыть rarархиватором, увидите что в картинке скрыт шелл файл, как им можно воспользоваться и как обезопасить себя от таких файлов?

Упоминается в теле картинки shell.php и что? Что-то еще должно из этой картинки сделать "страшную" вещь, уж если на то пошло. Сам по себе jpg это не исполняемый файл.

а каким образом тогда заливается шелл? мой аплоадер пропускает только картинки

А вам что уже залили? Если да, то как вам конкренто не знаю, но это или через взлом, или FTP. Возьмите любой РНР файл, переименуйте его в JPG, попробуйте запустить его, с учтом того, что он не указан как исполняемый.

Или, возьмите картинку, которую вы прикрепили, переименуйте ее в exe файл. Запустите. В Windows будет запущен DOS режим и сообщение об недопустимой инструкции. Не знаю Unix, но думаю навряд ли в ней JPG файлы являются исполняемые для системы, а это значит, что его (вашу картинку) надо запустить кому-то. Написать исполняемый код, который бы "визуально" был картинкой - это шедвр мастерства, значит "вредное" можно "прикрутить" к картинке в хвост, где могут находятся описания файла, а это надо опять таки извлечь кому-то.

>Написать исполняемый код, который бы "визуально" был картинкой - это шедвр мастерства
Есть такое!

Пример под Windows имеется в наличии, для "полюбоваться"?

> Пример под Windows имеется в наличии, для "полюбоваться"?
В смысле можно взять и после потока картинки прикрепить код. Запускаться будет как картинка, а код всё равно там будет.

Это я понимаю. Я не об этом. Когда-то на форуме обсуждались заголовки файлов, и мне попалась ссылка на пример вируса в файле JPG. Я уже не помню ее. Даже, если файл будет содержать вирус, то его кто-то должен запустить. Если сам JPG файл, то первые байты его заголовка должны быть инструкцией безусловного перехода по адресу. Этого нет, не думаю что и в Unix FFD8FF... это инструкция перехода.
Просто я о том, что блоки описывающие палитру изображения и т.д., не могут быть и одновременно изящно написанным кодом. Другими словами у такого файла, если он содержит что-то, должен быть "помошник" на сервере.

А, я не дочитал твоё сообщение от 04.04.2008 в 06:00. Извиняюсь.

Если у вас на сервере для пользователя разрешено переименование файлов - пипец! Заливаем картинку с РНР-кодом, переименовываем в РНР и вуаля!

Естессно.

Думаю поможет переименовывание. Причем имя ставить следует случайным образом. Если разрешены только гиф или джепег картинки, то ставим соответствующее расширение, если разрешены все изображения, то читаем вот это - http://php.ru/forum/viewtopic.php?t=10985&view=previous&sid=4d0e781e23b5034a5776219beb6b638a