昨天看到一个贴子 一张图片能让 iOS 系统重启，通过微信等社交软件可以快速进行传播。对这张图片非常感兴趣，于是开始研究，通过分析文件结构，发现 WechatIMG13720 1.jpg 样本文件有三个特点

(1) 对比其他照片多了一个 AROT 的结构，这个结构很可疑，信息如下：

只有 iPhone X 等高端机型拍摄的照片才会有 AROT 结构，而 iPhone 6 等低端的机型拍摄的照片没有 AROT 结构，可能出 iPhone 6 那时苹果还没加这类的功能。

(2) Exif 结构里的 ifdMainImage，找到 ExifTag 为 274, 有一个名 usValue，这个值必须要是 1, 有时拍照保存的是 6, 不会触发漏洞，这个值和图片的显示方式有关。

(3) 样本图片之所以显示不完整，是因为scanData 数据被截断，而且没有结束标记，正常的 jpg 图片，最后是有结束标记（FF D9），但是样本文件却没有。

通过以上的三个特点，判断造成系统重启的原因是，由于图片被截断，系统在处理 AROT 结构时发生了错误。如果要构造一个能让系统重启的图片，使用 iPhone X 拍照，用 010 Editor 打开照片文件，查看确认 Exif -> ifdMainImage -> ExifTag(274) -> usValue 为 1, 然后删除最后的结束标记（FF D9)，再把 scanData 删掉至少一半的数据，保存为新的图片文件，发送给微信好友，点击查看原图系统马上重启。

相关参考资料

http://www.hackerfactor.com/blog/index.php?/categories/1-Image-Analysis/P2.html

https://www.media.mit.edu/pia/Research/deepview/exif.html

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法