昨天，一位研究人員披露了一種在Twitter圖片中隱藏多達3MB數據的方法。在他的演示中，研究人員展示了包含在Twitter上託管的PNG圖像內的MP3音頻文件和ZIP檔案。

雖然在圖像中隱藏非圖像數據的藝術（隱身術）並不新穎，但由於圖像可以託管在像Twitter這樣的熱門網站上，而且沒有經過殺毒，這就為其被惡意行為者濫用提供了可能。昨天，研究員兼程序員大衛-布坎南在他的推特上附上了實例圖片，這些圖片中隱藏著整個ZIP檔案和MP3文件等數據。

雖然Twitter上託管的附件PNG文件在預覽時代表了有效的圖像，但僅僅是下載並改變其文件擴展名就足以從同一個文件中獲得不同的內容。據BleepingComputer觀察，該研究者在推特上發布的6KB圖片包含了整個ZIP檔案。該ZIP包含了大衛-布坎南的源代碼，任何人都可以用它將雜七雜八的內容打包成PNG圖片。

對於那些喜歡稍微不動手的人來說，研究者還在GitHub上提供了生成他所謂的tweetable-polyglot-png文件的源代碼。在另一個上傳到Twitter上的例子中，Buchanan在推特上發布了一張會唱歌的圖片。下載這個，重命名為.mp3，在VLC中打開，變成MP3的圖片文件就會開始播放Rick Astley的《Never Gonna Give You Up》這首歌。大衛-布坎南表示，你可以在DEFLATE流(文件中存儲壓縮像素數據的部分)的末尾附加數據，而Twitter不會將其剝離。

隱身威脅行為者經常利用隱身技術，因為他們可以將惡意命令、有效載荷和其他內容隱藏在圖像等看似普通的文件中。就在昨天，BleepingComputer報導了一種新的滲透技術，網絡犯罪分子利用這種技術將被盜的信用卡數據隱藏在JPG圖片中。正如大衛-布坎南所展示的那樣，Twitter可能並不總是將無關信息從圖片中剝離出來，這一事實為威脅行為者濫用該平台提供了空間。