图像可以是恶意的吗？

Question

我想知道这一点，因为像许多其他网站一样，我们有用户提交的图片。

我已经看到我的朋友会给我发送一条说“Look! I have a awesome picture of you at this party!”的即时消息，这让我相信他们的计算机上有一些恶意软件，因为在与他们交谈后，他们会立即签名。

当然，我没有点击链接，但它确实有一个带有图片扩展名的网址。

这引出了我这个问题，图片可能是恶意的吗？

Answer 1

在极少数情况下，图像可能是恶意的（有关一些突出示例，请参阅Mark的链接），但这些漏洞通常会被软件供应商快速修补。

但是，指向网站上图片的链接可以轻松地提供HTML和JavaScript内容，因为内容类型由Content-type属性决定，而不是URL的扩展名。

Answer 2

绝对：JPEG有一个特别tough time。即使您忽视了基于图像的漏洞的可能性，它们也可能是淫秽，这对大多数人来说都是恶意的。