Когда-то давным-давно стали известны способы размещения вредоносного кода в изображениях. Раньше этот процесс был узконаправленным, ввиду несовестимости/не поддерживания/малым объемом памяти полезной нагрузки и т. д.
Но недавно появился Pixload, который умеет генерировать нагрузку в файлах BMP, GIF, JPG и PNG. Работает он как с дефолтными файлами, которые прилагаются в его директории ,так и может начинять небольшие произвольные файлы соответствующего формата.
В отличии от других аналогичных техник, файлы не требуется конвертировать в иконки и т.п.
Если кому потребуется начинка из shell-кода х86 как в старые добрые времена, то смотрим здесь и здесь
Установка:
# apt install libgd-perl libimage-exiftool-perl libstring-crc32-perl
# git clone https://github.com/chinarulezzz/pixload.git
# cd pixload
Использование:
Если работать с дефолтными данными и произвольный выходной файл отсутствует, то при следующем генерировании, такой файл перезапишется.
Если имеется скачанный произвольный выходной файл, то указываем на выходе его название, и нагрузка запишется в него.
Для удобства поместите такой файл в директорию инструмента.
1) Для файлов BMP # ./bmp.pl -output file.bmp
2) Для JPG 2 вида нагрузки, либо в параметр COMMENT, либо DQT table
И именно для данного типа файлов существует лимитирование нагрузки в 64 байта и требование, чтобы файл был произвольным.
./jpg.pl -place DQT -output file.jpg
./jpg.pl -place COM -output file.jpg
3) Для PNG # ./png.pl -output file.png
4) Для GIF # ./gif.pl -output file.gif
Вот пример изображения
После генерирования полезной нагрузки, размер в свойствах останется неизменным, но само изображение примет минимальный размер.
Опасность такие файлы представляют для посетителей ресурсов, у которых, особенно присутствует XSS-уязвимость. Наличие уязвимости позволяет даже себя любимого вывести на главную страницу.
Загружаются файлы если это позволяется и выполняется атака через браузеры при взаимодействии с файлом. Мы конечно не станем ничего никуда грузить и заниматься вредительством.
Защитой от подобной атаки служит по-прежнему контроль javascript в браузере за счёт дополнений.
И при изучении файла hex-редактором, а лучше, анализатором пакетов, можно сразу увидеть, что с файлом что-то не так и виден в нём скрипт.