圖片檔案真的會傳播病毒嗎？答案令人驚訝：圖片本身不具傳染力，但利用瀏覽器/系統處理圖片的漏洞，可達成代碼執行。本文剖析三種經典圖片病毒攻擊鏈。

案例一：HTML 偽裝圖片 + 社交工程學誘餌

受害者點擊「詭異油畫」連結，實際載入的是副檔名改為 .jpg 的 HTML 頁面。頁面包含：

• 100% 寬高的 <img> 標籤顯示真實圖片（誘餌）。
• 隱藏的惡意程式碼（利用 IE 漏洞）下載木馬。

IE 依檔頭 MIME 判斷而非副檔名，攻擊者偽造 MIME 欺騙 IE 執行腳本。進度條持續運行實為木馬下載中。攻擊者以社交工程（聊天拖延時間）確保下載完成。

案例二：BMP 木馬——利用位圖格式寬鬆解析

「AMD CPU 運算缺陷測試頁」實為以 BMP 檔頭開頭的 EXE 木馬。BMP 格式僅解析前 54 位元組檔頭（寬高、位深、資料區長度），忽略後續資料。攻擊者將 EXE 的 PE Header 替換為 BMP Header，瀏覽器視為圖片下載至快取，再透過頁面腳本將檔頭還原為 PE Header 並執行。受害者以為 CPU 有缺陷，實則中木馬刪除資料。

案例三：JPEG GDI+ 緩衝區溢出 (MS04-028)

真正的 JPEG 檔案利用 GDI+ (gdiplus.dll) 處理 JPEG 時的緩衝區溢出。系統分配固定大小緩衝區，未嚴格檢查實際資料長度。攻擊者構造超大 JPEG 資料並植入惡意指令，溢出覆蓋核心記憶體區實現代碼執行。因 GDI+ 為系統預設圖形處理模組，絕大多數軟體（含瀏覽器、圖片檢視器）皆中招。

核心結論與防護

• 圖片病毒本質是利用解析器漏洞，非圖片格式本身可執行。
• 修補系統漏洞 (MS04-028 等) 是根本對策。
• 使用不調用易受攻擊系統元件的圖片檢視器（如 IrfanView、XnView 等獨立解碼器）可降低風險。
• 禁用 IE 自動執行 Active Scripting、部署入侵防禦系統 (IPS) 簽名攔截已知攻擊載體。