印度研究人员发现利用图片攻击电脑的新方式

印度Net-Square公司CEO和网络安全专家Saumil Shah发现了一种新的黑客攻击模式，黑客把恶意程序写到一张普通的图片文件里，人们只要打开看一眼这张看似普通的图片，电脑就会被黑客攻击。

Saumil Shah把这种恶意程序命名为“Stegosploit”。“Stegosploit” 这个名字的灵感来自隐写术（Steganography），隐写术可以隐瞒信息隐藏到图片中。Saumil Shah利用Steganography成功地把恶意JavaScript代码写进JPG或者PNG图片中，然后通过html5的可递交脚本的动态Canvas元素还原。 

这个恶意代码本质是图片的代码和Javascript脚本的混合，被称之为IMAJS。黑客可以把代码写进JPG或者PNG格式的图片中，除非把图片放大仔细查看，否者一般情况下，肉眼很难发现图片有问题。

黑客在图片中写了恶意程序，这个程序可以设计很多功能，比如下载和安装间谍软件等。然后把图片上传到网上，并把地址告诉你，当你在浏览器中查看这张图片的时候，恶意程序就会被触发，你的电脑就有可能被黑。

也就是说，如果这个漏洞被利用，那么在以后的日子里，图片文件对我们来说已经不可信任了。

不过这种代码也不是百分百能让你中招，他只能作用于一些安全性较弱的浏览器或网站，并且这种带有恶意程序的图片不会出现在社交网站上，因为像Facebook等大社交网站，在上传图片的时候网站都会对其进行检测，如有问题，则不能上传。

5月28日，在2015 HITBSecConf 大会上Saumil Shah为大家演示了如何在图片中嵌入恶意程序并攻击个人电脑的方法，目前看来这只是一个漏洞，应该很快就会被修复。