画像ファイルをつかってウェブアプリを攻撃する

画像ファイルにコードを埋め込むことによってウェブアプリを攻撃する方法についてMoPBの日本語訳をしていた大垣さんのブログで盛り上がっているようです。

画像ファイルにPHPコードを埋め込む攻撃は既知の問題

国内外のメディアで「画像ファイルに攻撃用のPHPコードが含まれていた」と比較的大きく取り上げられています。しかし、この攻撃手法は古くから知られていた方法です。条件は多少厳しくなりますがPerl, Ruby, Pythonでも同様の攻撃は考えられます。PHPの場合は言語仕様的に他の言語に比べ攻撃が容易です。

こういう攻撃ができること自体は認識していましたが、ここまで根が深い問題であるという認識はありませんでした。画像系のアップロード処理の全てにこれらのサニタイズ処理をかませなければならないとするならばさすがにこれは頭が痛い問題になりそう。