包含PHP代码的GIF / Jpeg文件

Question

测试Web应用程序，我可以上传GIF / Jpeg文件，我知道在GIF / Jpeg中正确包含PHP代码时可能存在威胁（因为它是使用imagecreatetruecolor和imagejpeg修改的）。

我正在寻找一个包含简单PHP代码的现有GIF文件（如phpinfo或echo'hello world'），以验证威胁是否具体。

在中间或调色板颜色中包含PHP代码的特制GIF图像是完美的，但我找不到它。

感谢您的帮助！

Answer 1

我会自己回答包含PHP代码执行的jpg链接文件，但如果其他人提供更完整的答案，我会提供接受的支票;）

Here's a link to a "compromised" JPEG file containing PHP exploit code (phpinfo)

（别担心，文件不会对你做任何事情）

此外，重要的是要注意即使您成功上传包含php代码的gif文件，如果该gif文件被读取为gif（并且不作为php执行，通过include / require或配置错误的服务器），它不会做任何事情，只是在您的服务器上有PHP代码，没用。

因此，为了使此攻击有效，您需要有两个条件：

1. 网站必须在您可以访问的某个时刻使用文件上载
2. 存储的文件必须通过PHP执行，甚至是图像文件（在这种情况下）。

尽管1.很容易拥有，但现在第二种情况几乎是不可能的。 PHP的默认配置是仅为.php文件运行PHP解释器，使用NGinx，Apache，Lighttpd等。

总之，这种攻击向量的成功概率非常低。