PHP 惡意代碼隱藏於 GIF 圖片中繞過安全防禦

攻擊原理

攻擊者利用 GIF 文件頭部合法圖像數據作為掩護，將 PHP 惡意代碼注入文件前段。當服務器配置不當（如將 .gif 交給 PHP 解析）或上傳邏輯缺陷導致文件以 .php 執行時，嵌入的 PHP 代碼會被解析器執行，從而實現遠程代碼執行（RCE）。

典型流程

1. 構造合法 GIF 文件頭（GIF89a）+ PHP 代碼（<?php system($_GET['cmd']);?>）
2. 將文件命名為 shell.gif 或 shell.php.gif 上傳至可寫目錄
3. 通過 https://target.com/uploads/shell.gif?cmd=ls 觸發執行

近期趨勢

SANS ISC 報告顯示，此技術早期多見於小型個人站點，近期頻現於大型圖庫、CMS 附件上傳功能，危害範圍擴大。

防禦建議

• 上傳目錄禁用腳本執行權限（Apache: php_flag engine off / Nginx: location ~ \.php$ { deny all; }）
• 文件類型驗證：檢測 MIME、魔數、二進制內容，而非僅信任擴展名
• 重命名存儲：使用隨機哈希名 + 無擴展名，入庫記錄原始名
• 部署 WAF 規則攔截帶有 <?php、eval(、system( 等特徵的圖片請求
• 定期掃描可寫目錄，清理異常文件

應急響應

發現疑似文件立即隔離，分析代碼意圖，檢查日誌確認是否被利用，修復上傳邏輯漏洞並輪換相關憑證。