带有木马或 script 的图片转成 base64 后，用浏览器访问还会中招吗？

[redtea]

如<img src="data:image/gif;.. 这样？

[virusdefender]

老版本的浏览器解析图片有 bug ，会把图片里面的内容当 html 或者 js 解析，现在的浏览器基本没有这个问题了。

[qqmishi]

@virusdefender 我在 gif 文件后面加入了<script>alert(1);</script>，然后在 php 里面 include ，打开 php 实测还是弹窗了，不过页面也变成了乱码。浏览器为 Chrome 46.0.2490.86 m

[w3hacker]

<script>location.href = '//www.baidu.com';</script>

[virusdefender]

@qqmishi include 的话就成了 html 了啊，我说的是 <img src =“ xxx.gif ”> 的场景

[qqmishi]

@virusdefender 你说得对，刚试了这种方式确实不会执行后面的 js 代码了

[redtea]

http://stackoverflow.com/questions/9157621/is-it-safe-to-put-base64-encoded-user-data-into-src-of-img
终于找到了一种可能，需要对图片内容进行校验，否则图片内容没有进行 base64 就会中招。