Flash应用安全规范
作者：jianxin
来自：80sec
导言：
[ 目录 ]
0×00 前言
0×01 宁静的服务端flash宁静计谋
0×02 宁静的客户端flash宁静规范
0×03 flash宁静的checklist
0×00 前言
--------------------------------------------------------------------------------
0×00 前言
flash作为一款欣赏器的第三方插件，是对欣赏器功能的延伸，曾经是web必不行少的元素。但是这种延伸必然带来不宁静的因素，相比于宁静性曾经失掉磨练的欣赏器来说，flash相对是客户端宁静的一个软肋（包括在比较神秘的毛病挖掘范畴，也是这个看法），同样flash在页面展现时所含有的丰富功能，在某些环境下你乃至可以以为它同等于javascript，乃至更为危险。欣赏器所贯彻的域宁静计谋被flash所冲破，客户端所做的种种过滤也同样被flash所冲破（只要你还使用flash）。但是flash也曾经觉失掉了这个题目，而且时时在革新，在设计上也引入了一些比较好的宁静机制，恰当的使用这些宁静机制可以避免你的应用程序遭到攻击。80sec将从实际的一些履历总结出一些供参考的flash使用规范，规范将从服务端应用程序的宁静设计和客户端的flash宁静使用两个角度来阐明这个题目。
0×01 宁静的服务端flash宁静计谋
应用程序宁静设计的时候应该秉承最小化原则，在flash的大部门应用中，由于功能需求就经常必要跨域获取数据。域宁静是欣赏器宁静的基本计谋，flash作为欣赏器的扩展允许跨域获取数据就从基础上冲破了欣赏器的宁静性。flash以flash文件存储域名作为它确以后域，要是必要获取其他服务器上的数据就会发生跨域举动，而且该跨域举动会承继用户欣赏器里的认证信息，限定不严酷时将招致宁静毛病，冲破我们的整个客户端宁静模型。flash在跨域时独一的限定计谋就是crossdomain.xml文件，该文件限定了flash能否可以跨域获取数据以及允许从什么中央跨域获取数据。经过严酷控制该计谋文件我们就可以为应用程序宁静和功能上探求到一个均衡点。
典型的crossdomain.xml文件计谋
此中最重要的计谋是allow-access-from表现允许来自哪些域的跨域恳求，晚期的flash允许从其他位置载入自界说的计谋文件，目前最新版的flash在接受自界说的计谋文件之前会去查抄主目录的crossdomain.xml来果断能否接受自界说计谋文件。该选项由
节点控制，不加该选项时，默许环境下flash不加载除主计谋文件之外的其他计谋文件，即只接受根目录里的/crossdomain.xml。这对于防止使用上传文件来界说自己计谋文件的攻击非常有效。为了在某些条件下必要启用其他计谋文件，我们必要设置permitted-cross-domain-policies，设置为by-content-type时将会只允许http头为text/x-cross-domain-policy的计谋文件，当为all时则允许全部的text/xml等款式的计谋文件。
应用程序在设计的时候按照最小化原则
1 将文件上传和应用的域名分开，防止经过上传flash文件间接获得域操作的权限。
2 对于不必要使用flash的应用严禁在域款式录下部署flash计谋文件。
3 对于有功能需求的应用遵照最小化原则将域名限定到最小的范围，有宁静需求的应用应该明确允许跨域恳求的域，克制间接使用*通配符，这将招致跨域访问权限的扩散。
譬如http://sns.80sec.com/crossdomain.xml
就对权限设置过泛，大概招致其他宁静计谋的绕过（如绕过csrf等等）
4 对于有高宁静需求的应用，在限定域名的前提下，将必要被flash访问的应用限定到指定目录，而且在flash内指定计谋文件到该目录以将全部访问权限限定到单一目录。
要是login.80sec.com中的某个功能如login必要对全部域名开放，要是设置装备摆设根目录crossdomain.xml
不是一个好的计谋由于他不只会开放login同时会开放如chgpassword等其他的服务给用户，我们必要设置装备摆设主计谋文件
然后自界说计谋文件到一个目录如/flash/crossdomain.xml
- 文章作者: 福州军威计算机技术有限公司
军威网络是福州最专业的电脑维修公司,专业承接福州电脑维修、上门维修、IT外包、企业电脑包年维护、局域网网络布线、网吧承包等相关维修服务。
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处 、作者信息和声明。否则将追究法律责任。
TAG:
|
评论加载中...
|
