GIF Extended ~ DLE плагин: Портфолио фрилансера Эдуард Тихомиров 03.06.2023, работа №19 - FL.RU
К списку работ
Эдуард Тихомиров
Эдуард Тихомиров

GIF Extended ~ DLE плагин

image
Плагин воскрешает GIF анимацию в DLE и даёт безопасность. Предыстория: В 2013 году некий гений на хакере под псевдонимом tehapocalypse расковырял 0-day уязвимость в DLE 9-ых версий и ниже(на тот момент всех самых актуальных), уязвимость заключалась в том, что зарегистрированный пользователь грузит в свой профиль анимированный GIF в котором содержится зловред в мета-данных. После загрузки этот зловред каким-то образом активировался(через /ajax/pm.php), заражал сайт, а в конце всех действий GIF файл удалялся не оставляя следов. Хакер создал бота и запустил его в автоматическом режиме массово заражать все DLE сайты, перегонять с них весь трафик себе. Шум поднялся знатный, разработчик движка среагировал, выпустил какие-то мелкие заплатки, а в будущих версиях DLE не придумал ничего умнее, чем просто полностью вырезать возможность загрузки анимированных GIF картинок в пользовательской части сайта. И с тех самых пор прошло уже 10+ лет, а анимация в GIF так и не вернулась. До сих пор судя по всему никто так и не узнал(в том числе и разработчики), как именно запускался зловред, что находилось внутри анимированных GIF файлов. Данное решение призвано исправить недоразумение и вернуть возможность загрузки анимированных GIF в новости (пользовательскую часть). Такие GIF в момент загрузки пересобираются, а все мета-данные удаляются. Актуально для нормальных серверов, так как в зависимости от количества кадров и разрешения GIF, в момент обработки может кратковременно повышаться нагрузка.