Security 不可信图像上传的安全性测试

我需要测试我的网站将如何处理嵌入恶意软件的图像文件。我已经对使用头检查验证文件类型感到满意。我想用嵌入恶意软件的正版图像文件来测试它

我可以得到一个应该被识别为恶意软件的jpg来测试这个吗？还是自己做一个

或者，如果有更好的方法，我如何确保一切都已连接并正常工作

---

它将部署在Azure上，并将图像保存到Azure Blob存储。我想使用[新]Azure存储安全服务来检测恶意软件。

通常很难使用真正的恶意软件进行测试。您需要能够在测试环境中小心地处理该文件，以免感染您的系统，或者逃逸到网络的其余部分

为了便于测试反恶意软件解决方案，供应商提供了许多测试文件。这些是被检测为恶意的良性文件。因此，在您的环境中使用它们是安全的，但可以作为解决方案的良好测试用例

有一个行业标准文件（）可用于测试反恶意软件解决方案。正如您所看到的，几乎每个供应商都会检测到此文件为恶意文件。他们中的许多人将其标识为测试文件

在您的特定用例中，这里有一个挑战，它不是图像文件。然而，正如您在评论中提到的，我相信在测试期间关闭图像检测比使用真正的恶意软件进行测试要好得多

---

最后，对EICAR说一句警告。由于许多产品都将其检测为病毒，因此您需要注意在文件最终出现的系统上运行的反恶意软件解决方案。例如，如果您的开发环境包含一个试图运行测试的on-access扫描器，则可能会触发on-access扫描器。

您能否提供用于检测恶意软件的解决方案的详细信息？大多数供应商将能够提供测试文件（即被视为恶意但不包含恶意内容的文件），允许您执行此操作。@James感谢您提供的信息。我计划使用Azure Defender进行存储。当恶意软件上载到blob存储时，它会生成警报。我需要设置对警报的自动响应，在这种情况下立即删除blob。这可能是一个困难的问题（除非供应商愿意共享图像文件）。很多测试中使用的一个明显的文件是exicar（），这里的挑战是它可能无法通过您的测试，因为它是一个有效的图像文件。@James谢谢您，这正是我想要的。如果我不能将其嵌入到图像文件中，那么我可以在关闭图像检查的情况下进行检查（尚未投入生产）。感谢您的反馈，我会将此添加为其他任何遇到此问题的人的答案