• -» Analiza ruchu przez obrazki, MyCode -(BBCode)

Kod PHP:
🔹 Analiza bezpieczeństwa MyBB

1. Wprowadzenie
MyBB to popularne oprogramowanie forum, które pozwala wstawiać posty przy użyciu BBCode. 
   
Tag -[-IMG] czyli obrazek wklejony i wyświetlany gdziekolwiek→ przeglądarka wysyła GET do serwera zewnętrznego. 

  ›. Serwer może logować IP, czas, user-agent i referer.
Cytat:
GET /picture.png HTTP/1.1 
Host: example.com 
User-Agent: Mozilla/5.0 
Referer: https://forum.com/thread/123
Każdy obrazek jest więc zewnętrznym requestem, który może służyć do śledzenia aktywności użytkowników.

3. Typowe nadużycia
• Content Switch Attack – zmiana obrazu po publikacji np. w poradniku. 
• External Resource Manipulation – podmiana obrazów w postach lub shoutboxie. 
• Mutable external content – dynamiczny content, np. phishing wizualny lub malware.

🗼 » Przykłady scenariuszy
- Podmiana treści posta poprzez zmianę obrazu. 
- Socjotechnika: fałszywe komunikaty typu "twoje konto wygasło". 
- Phishing wizualny i QR code malware. 
- Tracking użytkowników: IP, referer, user-agent. 
- Pixel tracking: 1×1 obrazki. 
- Fingerprinting przeglądarek. 
- Wymuszone zapytania HTTP do serwera atakującego. 
- Podmiana obrazów na treści nielegalne.

4. Problemy techniczne MyBB
• SQL Error 1366 – baza ustawiona na utf8, a wstawione emoji (4 bajty) np. 🎖. 
Cytat:
SQL Error: 1366 - Incorrect string value '\xF0\x9F\x8E\x96...' for column 'subject'
• Quote bomb – zbyt głęboko zagnieżdżone [quote] spowalnia parser i obciąża CPU. 
• Duże sygnatury / shoutbox – setki requestów HTTP dla obrazków. 
• Automatyczne embedowanie linków – linki do obrazów mogą omijać limit [img]. 
• BBCode flood – ogromne posty z dziesiątkami zagnieżdżonych [quote] i [img] mogą obciążyć forum.

5. Limity i zabezpieczenia
• Limit obrazów w poście: 5–15 
• Limit głębokości [quote]: max quote depth = 10 
• Limit sygnatur: 1–2 obrazki 
• Image proxy / cache 
• Whitelist hostów 
• Wyłączenie HTML dla użytkowników 
• Blokowanie dużych GIF 
• Logowanie błędów zamiast pokazywania szczegółowych zapytań SQL

· Limit załączników został poprawiony ale też można było się nadziać na duże bomby plików, gdyby ktoś wykorzystał.

6. Rekomendacje dla technika
• Zmiana bazy na utf8mb4 aby obsłużyć emoji 
• Włączenie logów zamiast pokazywania błędów SQL 
• Ograniczenie liczby obrazów i głębokości cytatów 
• Cache i proxy dla zewnętrznych obrazów 
• Archiwizacja obrazów wewnętrznych zamiast polegania na linkach zewnętrznych 

7. Podsumowanie
Problemy z [-img], [-quote] i emoji w MyBB nie są klasycznymi exploitami, ale mogą: 
- ujawniać strukturę bazy SQL 
- spowalniać forum 
- umożliwiać śledzenie użytkowników 
- służyć do manipulacji treścią 

Zastosowanie powyższych limitów i pluginów znacząco poprawia bezpieczeństwo i wydajność forum.
Dużo już zostało poprawione po zgłoszeniach dlatego można zamieścić to w poście i nie wygląda to jako poradnik. 