Mein Browser ist Google Chrome. Wenn ich Chrome verwende und mir Google-Bilder anschaue, kann ich drei Dinge tun
- Ich kann auf der Seite nach unten scrollen und Bilder ansehen, oder
- Ich kann auf ein Bild auf der Seite klicken und ein schwarzer Kasten erscheint auf meinem Bildschirm mit dem Bild selbst auf der linken Seite und auf der rechten Seite wird die Website angezeigt, von der das Bild stammt, und auch
- Mir stehen die Optionen „Seite besuchen“ und „Bild anzeigen“ zur Verfügung.
Meine Frage ist nun, ob man sich durch (1) oder (2) einen Virus einfangen kann. Ich denke, dass (1) wahrscheinlich harmlos ist, aber ich bin mir nicht sicher, ob man bei (2) die Site tatsächlich besucht oder nur das Bild vergrößert.
Grundsätzlich mache ich mir Sorgen über Malware auf Google-Bildern.
Antwort1
Ist es möglich? Ja. Ist es wahrscheinlich? Nein.
Die in den Suchergebnissen angezeigten Miniaturbilder (die Sie "1" nennen) werden direkt von der Seite aus bereitgestellt alseingebettete data:URLs. Es werden keine Inhalte von anderen Servern als Google bereitgestellt.
Die Bildvorschauen, die innerhalb eines schwarzen Rahmens in den Suchergebnissen erscheinen und angezeigt werden, wenn Sie auf ein Miniaturbild (das Sie „2“ nennen) klicken, betten das Bild direkt von der Website ein, auf der es gehostet wird.
Es gab Sicherheitslücken in gängigen Bildformaten, die zu Pufferüberläufen und Remotecodeausführung führen können. In der Praxis ist dies sehr ungewöhnlich und es ist wahrscheinlich, dass Google dies als Malware erkennt und diese Bilder nicht in den Suchergebnissen anzeigt. Wenn jedoch eine 0-Tage-Sicherheitslücke im Bildformat vorliegt und Sie zufällig in den Suchergebnissen auf ein infiziertes Bild klicken, kann die bloße Verwendung der Inline-Vorschau ausreichen, um Ihren Computer zu kompromittieren.
Antwort2
Ja, das können Sie sicherlich.
Als Proof of Concept, wie Informationen über JPEG-Header an den Browser übermittelt werden können, kann ich beispielsweise ein Produktbild erstellen, das einen Link zu meiner Website enthält. Geschützte Browser zeigen das nicht an, ungeschützte Interpreter jedoch schon (wie einige andere Browser oder Dinge wie WordPress). Ich kann die Proof-of-Concept-Dateien hochladen, wenn Sie sie benötigen.
Da sogar dieser JPEG-Header Informationen an eine Seite/einen Browser weitergeben kann und dies praktische Auswirkungen hat (er wird interpretiert/verarbeitet/angezeigt), bedeutet dies, dass ein erfahrener Mitarbeiter viele riskante Dinge weitergeben kann.