圖片可隱藏zip和mp3文件，只需修改后綴名，這個(gè)GitHub項(xiàng)目火了
十幾年前的互聯(lián)網(wǎng)老把戲又火了
曉查 發(fā)自 凹非寺
量子位 報(bào)道 | 公眾號(hào) QbitAI
明明下載的是一張圖片，只需修改后綴名，圖片就變成了一首歌，一串Python代碼。
國外黑客David Buchanan利用Twitter的漏洞，可以用圖片偽裝的方式傳輸一份“加密”文件，前提是不超過3MB。
他成功把這種藏匿文件的GitHub源代碼壓縮到圖片中。
現(xiàn)在你只要去他的Twitter，把這張圖片下載下來，并將文件后綴名從.png修改為.zip，即可解壓為Github代碼。
（注：親測Mac自帶解壓工具報(bào)錯(cuò)，第三方工具可正常解壓。）
對(duì)于有十幾年網(wǎng)齡的老網(wǎng)民來說，這并不是一項(xiàng)新技術(shù)。早年就有人將文本文件或種子文件藏匿在jpg圖片中。
這種方法的特點(diǎn)在于，把文件打包到圖片中并不影響正常顯示，但一般來說文件大小不過幾十KB。
隨著網(wǎng)絡(luò)發(fā)展，越來越多的平臺(tái)允許用戶上傳大尺寸無損圖片，這就給藏匿大文件提供了契機(jī)。
Buchanan的新方法現(xiàn)在將藏匿文件體積增加到3MB，你甚至能放入一首歌。
Twitter上就有現(xiàn)成的例子，Buchanan放出了一張surprise.mp3的圖片。如果后綴名修改為.mp3，就變成了一首歌。
至于這個(gè)surprise，自然毫無意外是Rick Astley的《Never Gonna Give You Up》這首歌。恭喜你，又被“瑞克搖”了。
Buchanan的這一發(fā)現(xiàn)已經(jīng)連續(xù)多天成為GitHub熱門項(xiàng)目，最終在周末登上日榜第一。
使用方法很簡單，只需要將pack.py文件下載到本地，運(yùn)行以下代碼：
python3 pack.py cover.png file.zip output.png其中，cover.png是封面圖片，file.zip是你要藏匿的文件，output.png是輸出結(jié)果的文件名。
從外觀上來看，output.png和cover.png是一樣的，但多出一個(gè)壓縮包的大小。
原理
用圖片隱藏壓縮包的原理并不復(fù)雜，png圖片文件的格式如下。在Zlib之后，有一片IDAT塊的附加數(shù)據(jù)。藏匿數(shù)據(jù)就放在這里。
△圖片來自Twitter用戶@angealbertini
Twitter通常會(huì)壓縮圖像并刪除所有不必要的元數(shù)據(jù)，但是可以在“ DEFLATE”的末尾添加更多數(shù)據(jù)。
如果整個(gè)圖像文件符合避免重新編碼的要求，壓縮包內(nèi)容就不會(huì)從IDAT塊內(nèi)的DEFLATE流中剝離。
這種方法不僅限于嵌入zip、mp3等文件，只要數(shù)據(jù)能壓縮到3MB以內(nèi)，都可以嵌入到png圖片中。
Buchanan表示，這種方法可能被黑客用于藏匿惡意代碼，他本人已將該漏洞利用報(bào)告給“漏洞賞金”程序，但卻被Twitter告知這不是bug。
能傳輸“加密”文件，怎么能說是bug呢？應(yīng)該是隱藏功能才對(duì)。（手動(dòng)狗頭）
帶壓縮包的圖片地址：
https://i.imgur.com/kNhGrN3.png
David Buchanan的Twitter：
https://twitter.com/David3141593/status/1371974874856587268
項(xiàng)目地址：
https://github.com/DavidBuchanan314/tweetable-polyglot-png
相關(guān)閱讀
運(yùn)行個(gè)Hello World也能出Bug？Python、Java、C++等16種語言中槍，最嚴(yán)重可導(dǎo)致文件丟失
網(wǎng)友吵成一團(tuán)：語言缺陷or用戶問題？
