Web アプリケーションをテストして、GIF/JPEG ファイルをアップロードできます。その GIF/JPEG に PHP コードを適切に含めると、脅威の可能性があることがわかります ( imagecreatetruecolorおよびimagejpegを使用して変更されるため)。
単純な PHP コード (phpinfo や echo 'hello world' など) を含む既存の GIF ファイルを探して、脅威が具体的なものであることを検証しました。
完璧なのは、中央またはパレットの色に PHP コードを含む特別に作成された GIF 画像ですが、見つけることができませんでした。
PHPコードの実行を含むjpgリンクファイルについて自分で答えますが、他の誰かがより完全な答えを提供した場合は、受け入れられたチェックを提供します;）
PHPエクスプロイトコード（phpinfo）を含む「侵害された」JPEGファイルへのリンクは次のとおりです。
（心配しないでください、ファイルはあなたに何もしません）
さらに、phpコードを含むgifファイルのアップロードに成功した場合でも、そのgifファイルがgifとして読み取られる（include / requireを介してphpとして実行されない、またはサーバーの構成が不適切な場合）ことに注意することが重要です。何もしません。サーバーにphpコードを置いてください。役に立たないです。
したがって、この攻撃が機能するためには、2つの条件が必要です。
1.は非常に簡単に入手できますが、2番目の方法は現在ほとんど不可能です。PHPのデフォルト設定では、NGinx、Apache、Lighttpdなどを使用して、.phpファイルに対してのみPHPインタープリターを実行します。
結論として、この攻撃ベクトルは成功の可能性が非常に低いです。
