经常看本周刊的朋友应该还记得, 我之前分享了一个关于在 PDF 文件里运行一个 Linux, 玩俄罗斯方块以及使用计算器的文章.

https://1link.fun/i/pdf-linux-XuIs5yXoG1M/

是因为浏览器采用的 PDF 引擎是可以加载并运行嵌入在 PDF 文件里的脚本的, 所以别以为 PDF 文件人畜无害, 只是为了打印时格式不乱的一个格式, 它能干的事情还有很多.

这次 4chan 论坛被黑, 源代码被泄露, 管理员邮箱被公布, 起因就是 PDF 文件.

因为某些板块允许用户上传 PDF 文件, 但是由于没有对 PDF 做校验/检测, 然后用过时的代码对 PDF 文件生成缩略图, 加载了内嵌在 PDF 里面的脚本, 最终让黑客获取了 shell 执行权限…

🫘 : https://ouo.io/kxm81B