GIF/JPEG 文件可以包含可运行的 PHP 代码吗？

Question

测试 Web 应用程序，我可以上传 GIF/JPEG 文件，并且我知道在该 GIF/Jpeg 中正确包含 PHP 代码时可能存在威胁（因为它是使用 imagecreatetruecolor 和 imagejpeg 进行修改的）。

我正在寻找包含简单 PHP 代码（如 phpinfo 或 echo 'hello world'）的现有 GIF 文件，只是为了验证威胁是否具体。

最完美的是一张专门制作的 GIF 图像，中间或调色板颜色中包含 PHP 代码，但我没能找到一个。

Answer 1

我会自己回答包含 PHP 代码执行的 jpg 链接文件，但如果其他人提供更完整的答案，我将提供接受的检查;)

这是包含 PHP 漏洞利用代码 (phpinfo) 的“受损”JPEG 文件的链接

（别担心，该文件不会对你做任何事）

此外，值得注意的是，即使您成功上传了包含 php 代码的 gif 文件，如果该 gif 文件被读取为 gif（并且不是通过 include/require 或配置错误的服务器作为 php 执行），它也会获胜什么都不做，只是在你的服务器上有 php 代码，没用。

因此，为了让这种攻击发挥作用，你需要满足两个条件：

1. 网站必须在您可以访问的某个时刻使用文件上传
2. 存储的文件必须通过 PHP 执行，甚至是图像文件（在这种情况下）。

虽然第一个很容易实现，但现在第二个几乎是不可能的。 PHP 的默认配置是仅针对 .php 文件运行 PHP 解释器，可以使用 NGinx、Apache、Lighttpd 等。

总而言之，这种攻击方式的成功概率确实很低。