¿La visualización de imágenes en los perfiles por URL tiene implicaciones de seguridad?

  

probé muchos scripts php como http://attacker.com/omg.php y no ejecuta el script en mi dominio ...

El problema aquí no sería una vulnerabilidad del lado del servidor, sino más bien una vulnerabilidad XSS reflexiva que se ejecuta en el navegador y no en el servidor, por lo que el archivo php no funcionó.

Tomado de OWASP ( vea aquí ):

  

La secuencia de comandos reflejada entre sitios (XSS) se produce cuando un atacante inyecta un código ejecutable del navegador dentro de una única respuesta HTTP. El ataque inyectado no se almacena dentro de la propia aplicación; no es persistente y solo afecta a los usuarios que abren un enlace creado de manera malintencionada o una página web de terceros. La cadena de ataque se incluye como parte de los parámetros URI o HTTP diseñados, procesados incorrectamente por la aplicación y devueltos a la víctima.

Si adjunto un archivo (llamémoslo script.html) y ejecuté Javascript allí, cualquiera que vea la "imagen" ejecutará el Javascript en su navegador.

Por ejemplo:

Soy un usuario de su sitio web y adjunto una imagen de perfil con el enlace http://mymalicouswebsite.com/script.html y en el archivo script.html tengo el siguiente código:

...Some HTML...
<script>
    window.onload = function(){
        //Anything I put here will run on any viewers browser
    }
</script>
...Some HTML...

Esto puede ser aún peor, el atacante puede hacer lo siguiente:

• Reemplaza todo tu código html body con cualquier contenido que desee (puede cargar un iframe , que es una página de phishing)
• Puede robar cookies a los usuarios y enviarlas a su página utilizando AJAX
• Redirige al usuario a una unidad en la que se descargará un virus y el usuario pensará que viene de tu sitio web

  

Ahora, ¿hay algún vector de posibilidad de ataque aquí? Si es así, sugiéreme amablemente. Y también es posible omitir CORS o SOP aquí, tengo protección CSP del dominio.

CORS es cuando una solicitud HTTP proviene de un script que no es este el caso. Lo que estás haciendo es como si estuvieras cargando un iframe .

Acerca de CSP : Tendría que ver tu configuración que está configurada para ver si se puede realizar un ataque ...

El riesgo no es que una secuencia de comandos como http://attacker.com/omg.php se ejecute en su dominio, es que un usuario logra salir de la

<div style='background-image: url("http://example.com/image.jpg")'></div>

contexto donde se escribe la URL en la página. Tenga en cuenta que el código se ha corregido de su pregunta (comillas simples utilizadas para el atributo HTML para aclarar las cosas).

PHP es del lado del servidor, sin embargo, debido a que está mostrando una imagen del lado del cliente, no hay riesgo del lado del servidor.

Incluso si se ingresó //example.com/evil.js , el script no se ejecutará en el navegador porque se solicita en el contexto de una imagen, no de un script.

De vuelta al problema: para mitigar que el usuario que está tratando de salir del contexto donde se escribe la URL, debe mitigar contra XSS (secuencias de comandos entre sitios) .

Para eso, vea la regla # 4

")'><script>alert('xss')</script>

<div style='background-image: url("")'><script>alert('xss')</script>")'></div>