圖片藏木馬？GDI+ 漏洞原理、中毒徵兆、補丁修補與防護全指南

「收到一張圖片、打開一張圖片、甚至預覽縮圖就中毒」——這不是危言聳聽，是微軟 GDI+ (Graphics Device Interface+) 整數溢位漏洞 (CVE-2004-XXXX 等系列) 的真實威力。攻擊者將 Shellcode 藏入 BMP/PNG/JPG/GIF/WMF/EMF 等圖檔內部結構，利用 GDI+ 解析器處理特製圖檔時觸發緩衝區溢位，執行任意程式碼，完全控制系統、關閉防毒、竊取帳密、植入更多後門。本文深度解析漏洞原理、傳播管道、中毒徵兆、官方補丁部署、多層次防護策略，讓你在圖片洪流中建立免疫防線。

漏洞核心原理

• GDI+ (gdiplus.dll)： Windows 核心圖形庫，提供 2D 向量繪圖、影像解碼、排版 API，被 IE、Office、Outlook、Windows 照片檢視器、QQ/MSN/Line 圖片預覽、第三方看圖軟體廣泛呼叫。
• 觸發點： 解析 BMP 檔案標頭 時，對寬度/高度/色深欄位進行整數運算計算記憶體配置大小，未檢查整數溢位，導致配置緩衝區過小，後續寫入像素資料時發生堆疊/堆積緩衝區溢位。
• 影響範圍： Windows XP/2003/Vista/7/8/10 (早期版本)、Office 2003/2007/2010、IE 6/7/8/9/10/11、所有呼叫 GDI+ API 的應用程式。
• 攻擊向量： 網頁嵌入圖片、郵件附件/內嵌圖、即時通訊傳圖、文件內嵌圖、U 盤自動播放預覽、縮圖快取生成 —— 無需點擊，僅預覽/縮圖生成即觸發。

中毒徵兆 (進階持續性威脅 APT 特徵)

• 防毒軟體/防火牆突然關閉、無法啟動、服務停止。
• 不明程式啟動、CPU/網路/磁碟持續高載。
• 帳號密碼被竊、郵件/社群帳號發送垃圾訊息。
• 系統檔案被修改、登錄表異常啟動項、排程工作竄改。
• 遠端桌面/SSH/RDP 異常登入紀錄。
• 網路流量異常外連 (C2 伺服器通訊)。

官方修補方案 (必做)

1. 安裝微軟官方安全更新： Windows Update 自動推送 (KB 編號隨版本不同) → 確認已安裝 MS04-028 / MS05-018 / MS06-001 / MS07-017 等相關公告補丁。
2. Office 獨立更新： Microsoft Update / Office Update 安裝對應 Office 版本 GDI+ 補丁。
3. 舊系統 (XP/2003) 手動下載： Microsoft Download Center 搜尋 GDI+ Detection Tool 掃描受影響檔案 → 套用修補程式。

多層次防護策略 (纏繞防禦)

緊急應變：發現中毒怎麼辦？

1. 斷網隔離： 拔網線/關 Wi-Fi/關機 (防止資料外洩/橫向移動)。
2. 離線掃毒： 製作 WinPE/救援碟 → 開機掃毒 (Kaspersky/Defender/ESET/Malwarebytes 离线版)。
3. 修補漏洞： 掃毒後立即安裝所有安全更新。
4. 變更密鑰： 所有帳號密碼、金融憑證、API Key、SSH Key 重新產生。
5. 系統重建： 若為關鍵資產/高價值目標，建議重灌系統、從乾淨備份還原。

GDI+ 圖片漏洞雖屬經典老洞，但其「零點擊、廣泛載體、高權限執行」特性，使其成為 APT 攻擊鏈中極佳的初始入侵向量。現代 Windows (10 1809+/11) 已大幅重構圖形堆疊並預設啟用 CFG/ACG/任意程式碼防護 (ACG)、控制流程防護 (CFG)、虛擬化安全 (VBS)，抗性大幅提升。但舊系統、未修補主機、第三方看圖軟體、Office 巨集環境仍存風險。修補補丁、縮減攻擊面、養成安全習慣、部署纏繞防禦，才是面對「圖片藏木馬」的永恆解藥。