近日，一种HTML Smuggling的新利用方式于在野活动中被发现。攻击者将HTML Smuggling恶意代码隐藏在SVG图像中，以此绕过安全设备的检测。本文将就这种新利用方式进行分析研判。

亮点：嵌入SVG图像的HTML Smuggling

SVG是一种图形文件格式，英文全称为Scalable Vector Graphics，意为可缩放的矢量图形，是一种XML定义的开放标准矢量图形语言，可用于设计高分辨率的Web图形页面。用户可以直接用代码来描绘图像，可以用任何文字处理工具打开SVG图像，通过改变部分代码来使图像具有交互功能，并可以随时插入到HTML中通过浏览器来观看。SVG图形是可交互的和动态的，可以在SVG文件中嵌入动画元素或通过脚本来定义动画。

下面是一幅SVG图像的代码定义：

恶意文件由HTML页面直接在受害者机器上构建，而非通过网络传输，攻击者旨在通过这种形式绕过传输过程中的安全检测。 

在本次事件中，攻击者利用SVG文件特性，巧妙地投递HTML Smuggling文件以避免暴露特征，同时也使得攻击行为难以被检测。攻击者发掘的新利用形式给HTML Smuggling赋予了新的生命力。