Belajar ImageMagick - Input/Output Remote & URL

#Pendahuluan

Di episode 14 kalian belajar memperlakukan input sebagai musuh potensial. Episode ini menguji prinsip itu dengan ujian paling serius: ImageMagick bisa membaca dan menulis langsung ke URL — artinya ia bisa ditarik ke luar negeri oleh siapa pun yang mengendalikan inputnya.

Episode 15 membuka kemampuan I/O jarak jauh ImageMagick: membaca gambar dari https://, menulis ke tujuan remote, membaca daftar file dengan notasi @, dan streaming pixel mentah lewat magick stream. Bersamaan dengan itu kita menghadapi risiko keamanan paling khas dari kemampuan ini — SSRF — dan menyusun mitigasi yang membuat kemampuan ini aman dipakai di server.

#Membaca dan Menulis lewat URL

ImageMagick tidak peduli apakah sumbernya file lokal atau URL — coder HTTPS (dan HTTP) memungkinkan keduanya:

magick https://cdn.example.com/banner.png -resize 800x out.jpg

magick out.jpg https://cdn.example.com/upload/tmp_42.jpg

Kedua perintah di atas tampak wajar, tapi keduanya menyembunyikan keputusan besar: siapa yang sebenarnya membuat request HTTP? Bukan kalian — ImageMagick yang melakukannya, atas nama file yang kalian sebutkan. Ini bukan masalah ketika inputnya datang dari kalian sendiri. Ini menjadi masalah besar ketika inputnya berasal dari pengguna, karena pengguna bisa menunjuk ImageMagick ke mana pun.

Analogi yang tepat: membaca URL adalah seperti menyuruh asisten mengantar paket. Selama kalian yang menentukan tujuannya, aman. Tapi jika pengunjung bisa menyuruh asisten kalian pergi ke mana pun, maka asisten itu — dengan alamat dan privilege server kalian — menjelajah dunia atas nama pengunjung.

#SSRF: Server Mengunjungi Dunia atas Nama Penyerang

SSRF (Server-Side Request Forgery) adalah serangan di mana penyerang membuat server mengirim request ke target yang tidak seharusnya dijangkau server itu. Dengan kemampuan URL ImageMagick, satu file gambar berbahaya bisa memicu request ke:

• http://169.254.169.254/ — metadata service cloud (AWS/GCP), tempat token akses rahasia tinggal.
• http://127.0.0.1:6379/ — Redis di mesin yang sama, tanpa autentikasi.
• http://admin:pass@internal.example.com/ — panel internal di balik firewall.

Semuanya dari satu unggahan gambar. Inilah kenapa policy.xml di episode 13 dan 14 mematikan coder HTTPS dan URL — mereka adalah gerbang SSRF langsung.

Mitigasi berlapis untuk server yang memproses input pengguna:

1. Matikan coder remote di policy:

<policy domain="coder" rights="none" pattern="HTTPS"/>
<policy domain="coder" rights="none" pattern="HTTP"/>
<policy domain="coder" rights="none" pattern="URL"/>
<policy domain="coder" rights="none" pattern="FTP"/>

2. Unduh di lapisan terpisah. Jangan biarkan ImageMagick menyentuh jaringan. Proses aplikasi (Node, Python, Go) yang melakukan download punya kontrol yang jauh lebih baik — timeout, ukuran maksimum, allowlist domain:

curl --max-filesize 5M --connect-timeout 5 -o /tmp/source.jpg \
  "$USER_URL"
magick /tmp/source.jpg -resize 800x out.jpg

Di sini curl melakukan validasi lebih dulu: ukuran file dibatasi --max-filesize, koneksi dibatasi timeout, dan file turun ke disk lokal sebelum ImageMagick menyentuhnya. ImageMagick hanya melihat file lokal — jaringan tidak pernah dalam jangkauannya.

3. Allowlist domain tujuan. Jika download remote memang diperlukan, jangan izinkan URL bebas — cocokkan domain terhadap daftar yang diizinkan, dan tolak IP private (127.0.0.0/8, 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, dan metadata cloud) sebelum request dikirim.

#Daftar File dengan Notasi @

ImageMagick juga membaca daftar nama file dari file teks memakai notasi @:

banner.png
hero.jpg
icon.webp

magick @filelist.txt +append combined.jpg

@filelist.txt memberi tahu ImageMagick "baca daftar file dari filelist.txt". Dua peringatan penting: path di dalam daftar bisa relatif atau absolut, dan — yang sering dilupakan — kombinasi @ dengan input pengguna bisa membuka jalan ke file lain. Selalu sanitasi dan jangan pernah membiarkan daftar file berasal dari input tak dikenal tanpa validasi.

#Streaming Pixel Mentah: magick stream

Kadang kalian tidak butuh file gambar — kalian butuh pixel mentah untuk diolah program lain. Di situlah magick stream, alat bawaan ImageMagick, berperan. Ia membaca pixel dari gambar dan menuliskannya sebagai data mentah tanpa struktur file:

magick stream -map rgb -depth 8 input.jpg output.rgb

Baca perintah di atas: -map rgb memilih tiga channel merah-hijau-biru, -depth 8 menetapkan 8 bit per channel. Hasilnya adalah file biner di mana setiap 3 byte adalah satu pixel R G B. Tidak ada header, tidak ada metadata — hanya data.

Kenapa ini berguna? Karena format mentah adalah bahasa bersama termudah untuk pipeline data. Kalian bisa membaca pixel stream dari Python tanpa pustaka gambar apa pun:

read-stream.py

import struct
 
width, height = 800, 600
with open("output.rgb", "rb") as f:
    raw = f.read()
 
for y in range(0, 3):
    for x in range(0, 3):
        r, g, b = struct.unpack_from("BBB", raw, (y * width + x) * 3)
        print(f"pixel({x},{y}) = R{r} G{g} B{b}")

Perhatikan: tidak ada import PIL atau pustaka decode — pixel sudah dalam format paling sederhana yang bisa dibaca langsung. Inilah kekuatan streaming: ImageMagick menangani decode dan konversi, dan kalian tinggal membaca byte.

#Ekstraksi Satu Wilayah: stream dan crop

magick stream tidak selalu harus membaca seluruh gambar. Kombinasi -extract dengan koordinat memungkinkan kalian mengambil region tertentu:

magick stream -extract 100x100+50+50 -map rgb -depth 8 input.jpg region.rgb

-extract 100x100+50+50 membatasi pembacaan pada area 100x100 piksel mulai dari koordinat (50,50). Ini berharga untuk analisis gambar yang hanya tertarik pada satu bagian — misalnya membaca wajah yang sudah terdeteksi, tanpa memindai seluruh frame.

#Integrasi Pipeline Data

Pola lengkap yang akan sering kalian pakai di produksi: unduh → validasi → stream → olah. Setiap tahap punya kepemilikan yang jelas:

curl -s --max-filesize 5M -o /tmp/in.jpg "$SOURCE_URL"
file --brief --mime-type /tmp/in.jpg
magick stream -extract 200x200+0+0 -map rgb -depth 8 \
  /tmp/in.jpg /tmp/region.rgb
python3 /tmp/process.py /tmp/region.rgb

Alur di atas membagi tanggung jawab: curl mengunduh dengan batas, file memvalidasi tipe, magick stream mengekstrak pixel mentah, dan python3 mengolah data. ImageMagick tidak pernah melihat jaringan, dan pipeline tidak pernah melihat struktur file gambar — setiap lapisan menangani apa yang paling ia kuasai.

#Penutup

Episode 15 membawa ImageMagick keluar dari isolasi file lokal: membaca dan menulis lewat URL https://, membuka daftar file dengan notasi @, dan streaming pixel mentah dengan magick stream untuk integrasi pipeline data. Di sisi lain, kita menghadapi risiko yang menyertainya — SSRF — dan menyusun pertahanan: mematikan coder remote di policy, mengunduh di lapisan terpisah, dan tidak pernah membiarkan ImageMagick menyentuh jaringan atas nama input pengguna.

Inti yang perlu diingat: kemampuan remote adalah keputusan keamanan, bukan kenyamanan. Membiarkan ImageMagick membaca URL berarti menyerahkan pilihan target request ke tangan siapa pun yang mengendalikan input — dan di server, itu sama dengan menyerahkan kunci ke jaringan internal.

Di episode 16 kita berpindah dari bahaya eksternal ke masalah yang lebih halus: privasi dan metadata — bagaimana jejak lokasi GPS dan nama penulis ikut terbawa di file gambar, dan bagaimana -strip serta pembersihan output menjaga data tetap di tempatnya. Sampai jumpa!