Достать bitmap из loader

[zuxul]

Если все правильно настроено - не должно. (php запускается от пользователя с супер ограниченными правами). Ну и для надежности, нужно ограничить url-ы только интернетом.

[Krusty]

Даже если все правильно настроено-это гигантская дыра в безопасности. И пхп не запускается "от пользователя", за исключением редких случаев fastcgi. Это очень плохой код.

[i.o.]

Сообщение от Krusty

Даже если все правильно настроено-это гигантская дыра в безопасности.

Поясните, пожалуйста, для присутствующих.

[Krusty]

Простейший же вариант-вместо url вводить любой системный путь, к любому файлу системы(пароли, да что угодно). И он послушно выдаст, прав хватит.

[zuxul]

Дыра в безопасности - это запускать пхп от пользователя с большими, чем ему нужно, правами.

[Krusty]

Скрипт в данном случае запускается с правами апача, а этого более чем достаточно.
Код дырявый. Спорить бессмысленно.

[i.o.]

Сообщение от Krusty

Простейший же вариант-вместо url вводить любой системный путь, к любому файлу системы(пароли, да что угодно). И он послушно выдаст, прав хватит.

С проверкой начала адреса на http:// все равно дыра?

[zuxul]

Я не понимаю, зачем апачу возможность читать файлы с паролями?

[Krusty]

Да. Есть еще null byte injection php-уязвимость, например.
Пхп крайне просто позволяет все эти вольности для удобства, лучше ищите готовые варианты или хотя бы сначала про безопасность в пхп надо читать.

[zuxul]

Вроде бы, об этом и была речь, а приведенный код, только для примера.

Сообщение от zuxul

Лучше, конечно, найти более продвинутый скрипт для отдачи контента. Чтобы выставлял правильные заголовки, и т.д.