HTML注入通过EXIF元数据：如何泄露EXIF元数据加上不正确的输出编码将个人资料照片端点变成一键账户接管向量——以及如何修复它
在线商店个人资料图片功能中发现了一个严重的漏洞链：上传图片的EXIF元数据被暴露，且应用程序直接渲染了该元数据中的HTML代码。这些缺陷结合后，既能提取精确的用户个人身份信息（包括GPS数据），又能渲染功能性网络钓鱼表单来收集凭证，最终导致账户被接管。本文为开发人员和安全团队解释了影响、高级复现步骤和实际缓解措施。
引言
个人资料图片是一种普遍存在的便利功能。但当图像元数据（EXIF）未经适当清理就被视为可显示内容时，一个常规功能可能变成强大的攻击面。
在测试商店的个人资料图片上传流程时，我发现上传的图片保留了完整的EXIF元数据，且该元数据可以包含应用程序在某些视图中渲染的HTML代码。简而言之：隐私泄露的元数据 + HTML渲染 = 直接关联用户账户的网络钓鱼攻击面。
这不仅仅是一个学术练习。该漏洞链既能导致物理隐私侵犯（精确GPS和设备信息），又能通过凭证收集导致账户接管。
复现步骤
- 在受影响网站上创建账户并导航到个人资料设置
- 上传包含额外EXIF元数据的图片。我在作者描述字段中添加了有效载荷
- 打开提供上传图片/元数据的个人资料照片端点
- 观察服务器在exifviewer工具中返回完整元数据，该工具会渲染类似HTML的内容
- 因此，精心制作的图片既能暴露EXIF字段（GPS、设备数据），又能渲染捕获用户输入的UI元素（如表单）
推荐缓解措施（面向开发人员和安全团队）
上传时剥离EXIF（服务器端）：最简单有效的修复方法是在存储或提供用户上传的图片前移除所有元数据。例如，使用服务器端图像处理库（Pillow、ImageMagick、Sharp等）重新编码图片而不包含元数据。
验证和清理显示的元数据：如果必须显示元数据，应将每个EXIF字段视为不可信数据，并应用上下文适当的编码/转义。切勿将原始元数据插入HTML。优先使用安全模板和显式转义函数。
结论
个人资料图片功能是用户期望安全的便利功能。但当应用程序将图像元数据视为可显示内容时，就为隐私和身份验证双重失败打开了大门。修复方法很简单：上传时剥离元数据，并对所有显示内容进行编码/转义。添加内容安全策略（CSP）和分离来源作为防御层。媒体处理中的小疏忽可能产生巨大的安全影响——通过深度防御，这些问题是完全可以预防的。