ImageMagick Security

जानें AWS हैकिंग को शून्य से हीरो तक htARTE (HackTricks AWS Red Team Expert) के साथ!

HackTricks का समर्थन करने के अन्य तरीके:

• यदि आप अपनी कंपनी का विज्ञापन HackTricks में देखना चाहते हैं या HackTricks को PDF में डाउनलोड करना चाहते हैं तो सब्सक्रिप्शन प्लान्स देखें!

• आधिकारिक PEASS और HackTricks स्वैग प्राप्त करें

• हमारे विशेष NFTs कलेक्शन, The PEASS Family खोजें

• शामिल हों 💬 डिस्कॉर्ड समूह या टेलीग्राम समूह या हमें ट्विटर 🐦 @carlospolopm** पर फॉलो** करें।

• हैकिंग ट्रिक्स साझा करें, HackTricks और HackTricks Cloud github repos में PRs सबमिट करके।

https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html में अधिक विवरण देखें

ImageMagick, एक बहुमुखी छवि प्रसंस्करण पुस्तकालय, अपनी सुरक्षा नीति को विन्यासित करने में चुनौती प्रस्तुत करता है क्योंकि इसके विस्तृत विकल्प और विस्तृत ऑनलाइन दस्तावेज़ीकरण की कमी है। उपयोगकर्ताएं अक्सर अंशदार इंटरनेट स्रोतों पर आधारित नीतियाँ बनाते हैं, जो संभावित गलत विन्यासों की ओर ले जाते हैं। पुस्तकालय एक विशाल संख्या में 100 से अधिक छवि प्रारूपों का समर्थन करता है, जो इसकी जटिलता और सुरक्षा रूपरेखा में योगदान करते हैं, जैसा कि ऐतिहासिक सुरक्षा घटनाओं द्वारा प्रदर्शित किया गया है।

सुरक्षित नीतियों की दिशा में

इन चुनौतियों का सामना करने के लिए, एक उपकरण विकसित किया गया है, जो ImageMagick की सुरक्षा नीतियों के डिज़ाइन और मूल्यांकन में सहायता करने के लिए है। यह उपकरण व्यापक अनुसंधान पर आधारित है और नीत

...
<policy domain="coder" rights="none" pattern="*" />
<policy domain="coder" rights="read | write" pattern="{GIF,JPEG,PNG,WEBP}" />
...

पॉलिसी में मामले की महत्वपूर्णता

यह महत्वपूर्ण है कि ImageMagick में पॉलिसी पैटर्न मामले के लिए मामले संवेदनशील हैं। इस प्रकार, यह सुनिश्चित करना महत्वपूर्ण है कि कोडर और मॉड्यूल को सही ढंग से अपर-केस किया गया है पॉलिसी में अनजान अनुमतियों से बचने के लिए।

संसाधन सीमाएँ

यदि सही ढंग से कॉन्फ़िगर नहीं किया गया है, तो ImageMagick डिनायल ऑफ सर्विस हमलों के लिए प्रवृत है। इस प्रकार, निर्दिष्ट संसाधन सीमाएँ पॉलिसी में सेट करना महत्वपूर्ण है ताकि ऐसी सुरक्षा दोषों से बचा जा सके।

पॉलिसी विखंडन

पॉलिसियों को विभिन्न ImageMagick स्थापनाओं पर विखंडित किया जा सकता है, जिससे संभावित टकराव या ओवरराइड हो सकता है। सिफारिश की जाती है कि ऐसी सक्रिय पॉलिसी फ़ाइलों को खोजने और सत्यापित करने के लिए निम्नलिखित कमांड का उपयोग करें:

$ find / -iname policy.xml

एक प्रारंभिक, प्रतिबंधात्मक नीति

एक प्रतिबंधात्मक नीति टेम्प्लेट प्रस्तावित किया गया है, जिसमें कठोर संसाधन सीमाएँ और पहुंच नियंत्रण पर ध्यान केंद्रित है। यह टेम्प्लेट विशेष अनुप्रयोग आवश्यकताओं के साथ संरेखित नीतियों का विकसित करने के लिए एक मौखिक रूप से काम आता है।

एक सुरक्षा नीति की प्रभावकारिता को ImageMagick में identify -list policy कमांड का उपयोग करके पुष्टि किया जा सकता है। इसके अतिरिक्त, पहले से ही उल्लिखित मूल्यांकन उपकरण को व्यक्तिगत आवश्यकताओं के आधार पर नीति को संशोधित करने के लिए उपयोग किया जा सकता है।

संदर्भ

• https://blog.doyensec.com/2023/01/10/imagemagick-security-policy-evaluator.html**