اگر مدیر سایت وردپرسی هستید، احتمالاً می‌دانید که فایل‌های SVG (گرافیک برداری مقیاس‌پذیر) به دلیل حجم کم، کیفیت بالا و قابلیت واکنش‌گرایی، به انتخابی محبوب برای طراحان وب تبدیل شده‌اند. اما آیا از خطرات پنهان در این فایل‌های به‌ظاهر بی‌آزار آگاه هستید؟
برخلاف تصور عمومی، یک فایل SVG می‌تواند چیزی فراتر از یک تصویر ساده باشد. از آنجا که SVG بر پایهٔ XML ساخته شده، می‌تواند حاوی کدهای جاوااسکریپت، اسکریپت‌های مخرب، رویدادهای درون‌خطی (inline events)، پیوند به منابع خارجی آلوده و حتی حملات پیچیده‌ای مانند XXE (XML External Entity) و SSRF (Server-Side Request Forgery) باشد. یک SVG آلوده می‌تواند درگاه ورود هکرها به وب‌سایت شما باشد، اطلاعات کاربران را بدزدد، یا سایت را آلوده به بدافزار کند.
اینجاست که اسکنر svg ایکون بیس به‌عنوان یک راه‌حل جامع و قدرتمند برای اسکن فایل‌های SVG وارد میدان می‌شود.

چرا باید فایل‌های SVG را اسکن کنیم؟

قبل از هر چیز، بهتر است با تهدیدات رایج در فایل‌های SVG آشنا شویم. تزریق اسکریپت مخرب (XSS) یکی از شایع‌ترین حملات است که از طریق قرار دادن تگ <script> درون کد SVG انجام می‌شود. همین طور، رویدادهایی مانند onload، onclick و onmouseover می‌توانند بدون نیاز به تگ script، کدهای خطرناک را اجرا کنند.
مهاجمان همچنین می‌توانند از پروتکل data: برای جاسازی مستقیم کدهای HTML یا جاوااسکریپت استفاده کنند، یا با سوءاستفاده از تگ‌های <foreignObject> و <use>، محتوای آلوده را از منابع خارجی بارگذاری کنند. حملات پیشرفته‌تری مانند HTML Smuggling (قاچاق کد HTML درون فایل SVG) یا جاسازی ماینرهای ارز دیجیتال نیز به‌طور فزاینده‌ای مشاهده می‌شوند.
بدون یک ابزار تخصصی، تشخیص چنین تهدیداتی تقریباً غیرممکن است، زیرا کد مخرب می‌تواند به‌راحتی در میان انبوهی از برچسب‌های گرافیکی پنهان شود.

بیش از ۱۲۰ معیار امنیتی برای اسکن کامل

افزونه دارای یک موتور تحلیل ایستای قدرتمند است که کد SVG را با بیش از ۱۲۰ الگوی امنیتی بررسی می‌کند. این معیارها شامل دسته‌بندی‌های گسترده‌ای هستند:

• تشخیص تگ‌های script و رویدادهای inline: از <script> کامل گرفته تا onload و onerror.

• شناسایی پروتکل‌های خطرناک: لینک‌های javascript:، data:text/html و data:application/javascript.

• کشف HTML Smuggling و SVG-in-SVG: شناسایی فایل‌هایی که محتوای HTML یا SVG تودرتو دارند.

• مقابله با حملات XXE و Billion Laughs: بررسی موجودیت‌های خارجی XML که می‌توانند باعث نشت داده یا حملات منع سرویس شوند.

• جلوگیری از SSRF و دسترسی به شبکهٔ داخلی: تشخیص تلاش برای ارتباط با IP های خصوصی  یا پروتکل.

• آنالیز CSS مخرب: یافتن expression() و url() های حاوی جاوااسکریپت یا keylogger های CSS.

• تشخیص تزریق‌های پیشرفته: مانند SQL Injection، Command Injection و Template Injection درون کد SVG.

• شناسایی ماینرهای ارز دیجیتال، WebSocket های مخفی، Service Worker های آلوده و خیلی بیشتر.