等同于 policy.xml 文件与 GraphicsMagick 处理像素泛滥 DOS 攻击

Question

ImageMagick 的一些漏洞已通过使用 policy.xml 文件解决。我想知道我是否可以用 GraphicsMagick 做同样的事情。

尤其要考虑 pixel flood attack exploit。这个漏洞涉及在（small/regular 大小）图像本身的编码中指定一个非常大的像素值，这样当解码器试图为整个图像分配内存时，它会占用所有内存并导致 dos攻击。它被报告用于不同的应用程序（回形针），但相同的技术很容易适用于 ImageMagick 或 GraphicsMagick。

ImageMagick recommends avoiding this sort of attack via the policy.xml 文件。在 GraphicsMagick 中应该如何处理这一问题？或者 GraphicsMagick 是否对此免疫？请解释。

Answer 1

GraphicsMagick 没有或无法识别 policy.xml 文件。

为了设置最大内存量等，可以设置软件的环境变量。运行命令 gm convert -list resources 将显示当前分配的概览，格式如下：

Resource Limits (Q16, 64 bits/pixel, 64bit address)
 Disk:  Unlimited (MAGICK_LIMIT_DISK)
Files:        256 (MAGICK_LIMIT_FILES)
  Map:    15.6GiB (MAGICK_LIMIT_MAP)
Memory: 7.8GiB (MAGICK_LIMIT_MEMORY)
Pixels: Unlimited (MAGICK_LIMIT_PIXELS)
Threads: 4 (OMP_NUM_THREADS)
Width: 256.0MiP (MAGICK_LIMIT_WIDTH)
Height: 256.0MiP (MAGICK_LIMIT_HEIGHT)

末尾的粗体表示实际环境变量的名称，可以通过发出env MAGICK_LIMIT_MEMORY=200mb

这样的命令来设置

来源：discussion on the GraphicsMagick forum

等同于 policy.xml 文件与 GraphicsMagick 处理像素泛滥 DOS 攻击

Equivalent of policy.xml file with GraphicsMagick to deal with pixel flood DOS attack

security

graphicsmagick