¿Es posible cargar imágenes infectadas en un sitio web?

Si su formulario de carga no está asegurado y no se verifican muchas cosas sobre los archivos que se intentan cargar en su servidor, sí, puede cargar una imagen infectada. Intercepta el encabezado http como datos de manipulación u otras herramientas, y puede modificar la extensión de su archivo y otros parámetros:  ejemplo: enlace

Para el análisis de AV, eso depende del shell que cargues, creo.

Espero que esto te ayude, lo siento, mi inglés no está muy bien.

Muchas cosas pueden ir mal con las cargas de archivos. Si por imágenes "infectadas", te refieres a imágenes que activarán la ejecución de código arbitrario en las máquinas de tus visitantes, yo diría que probablemente estés bien (pero un barrido de antivirus no duele).

Sin embargo, hay otras cosas que buscar cuando se implementa un sitio web de alojamiento de imágenes (o un sitio web de alojamiento de archivos). Usted dijo que los archivos ejecutables no están permitidos, pero ¿qué hay de los archivos PHP? Un atacante podría cargar un script, adivinar dónde se encuentra en su sitio web y hacer que su servidor se ejecute si, tomando el control de manera efectiva.

Este entrada del blog SANS enumera algunas de las cosas que debes hacer para asegurar tu script de carga de archivos:

• Crea un nuevo nombre de archivo para los archivos cargados para que un atacante no pueda predecir dónde terminará su archivo en el sistema.
• No coloque las cargas en la raíz de su documento . Esta es la única forma en que puede controlar el acceso a las subidas.
• Las extensiones de archivo no son confiables : marque el encabezado Tipo de contenido (o un código más avanzado basado en números mágicos y formatos de archivo) en su lugar si desea evitar algún archivo los tipos se cargan en su servidor.
• Limite el número de subidas para evitar ataques de denegación de servicio, o incluso desconsidere a los usuarios de llenar su disco duro.
• Intente realizar un seguimiento de quién carga qué . De esta manera, si algo sale mal, tendrá alguna base para su investigación.

No puede confiar en que haya algún antivirus / escáner que los bloquee. Si desea verificar los archivos con un antivirus, debe ejecutarlo usted mismo en su cargador.

Los archivos Zip son especialmente peligrosos, ya que podrían cargar un .zip que contiene un .exe, un .zip que es un documento de Office infectado, un .zip que, cuando lo llama java, ejecuta un virus ...

También hay archivos que coinciden de varios tipos, como vulnerabilidad de GIFAR , por lo que no solo es necesario verificar que sea del tipo esperado, a menudo, también es necesario verificar que no sea uno de los de la lista negra.

Además, además de proporcionar el encabezado de tipo de contenido adecuado, el navegador no debe adivinar un MIME peligroso (un ejemplo sería tratar un text/plain seguro como text/html , lo que podría luego ejecute javascript peligroso), algo que IE ha hecho especialmente difícil, a veces anulando las instrucciones del servidor.