一張圖片就能中毒：GDI+ 緩衝區溢出漏洞實戰利用

病毒檔案

• 名稱：VTool.JPEGDown10（中文：GDI 木馬生成器）
• 別名：VirTool.Win32.MS04-028.a (Kaspersky)
• 威脅等級：二級
• 體積：7,664 字節
• 影響系統：未安裝 MS04-028 補丁的 Windows 系統
• 發現時間：2004-09-24

攻擊原理

1. 生成器製作一張攜帶 Shellcode 的 JPEG 圖片。
2. 受害者未打補丁情況下，以任意方式查看該圖（瀏覽器、圖片查看器、郵件預覽、即時通訊接收）即觸發 GDI+ 解碼溢出。
3. Shellcode 執行，從攻擊者指定 URL 靜默下載並執行真正的病毒/木馬程序。
4. 生成器對執行代碼進行加密混淆，增加靜態分析難度。

技術細節

• 生成器界面簡單，輸入下載 URL、生成毒圖。
• 關於對話框顯示作者信息（已隱藏）。
• 利用 GDI+ 處理 JPEG 時的 Heap Overflow（MS04-028 / CVE-2004-0200）。

防範對策

1. 立即安裝 MS04-028 補丁（Windows Update 或微軟下載中心）。
2. 升級殺毒軟件病毒庫，主流引擎已可查殺生成器及毒圖。
3. 不查看來路不明的圖片文件，特別是郵件、IM、網頁中的陌生圖片。
4. 啟用 DEP（數據執行防護）、ASLR 等緩解措施（需 OS 支持）。