Flash 安全性問題

這嚴格上來說是 service provider 的問題,而非 Flash 本體的問題,但影響層面太大,發表這個漏洞的作者希望 Adobe 可以想辦法處理...

在「Flash Origin Policy Issues」這篇文章裡提到了攻擊的方式。舉個實際例子,上傳檔名為圖檔類型 (gif/jpg) 的 Flash 檔,如果 service provider 沒有過濾,就可以將任意的 Flash 放到網域裡面,藉由 crossdomain.xml 所允許的網段攻擊。

除了過濾外,另外比較好的作法是把使用者上傳的東西放到獨立 domain,而非只是 hostname,這樣可以避免 *.domain.tld 時包進去。

Leave a Reply

Your email address will not be published. Required fields are marked *