flash – 攻击者如何规避crossdomain.xml
发布时间：2020-12-15 07:22:57 所属栏目：百科 来源：网络整理
导读：我不确定我是否正确理解了crossdomain.xml的用法.我是,使用Uploadify(2.1.4) – 一个基于闪存的文件上传器.我需要将文件从域A上传到域B. Uploadify由域A托管和提供.要允许Uploadify Flash插件进行通信并上传到域B,我必须在域B上托管一个crossdomain.xml文件.
|
我不确定我是否正确理解了crossdomain.xml的用法.我是,使用Uploadify(2.1.4) – 一个基于闪存的文件上传器.我需要将文件从域A上传到域B. Uploadify由域A托管和提供.要允许Uploadify Flash插件进行通信并上传到域B,我必须在域B上托管一个crossdomain.xml文件.所以如果Uploadify在域B上找到了包含域A的白名单中的crossdomain.xml文件,则将处理到域B的文件上载.到目前为止听起来都不错.
但是,我无法理解是什么阻止攻击者在他的计算机上安装本地网站上的克隆上传器,然后修改etc / hosts以使本地安装使用域A作为域名.现在,攻击者可以将文件上传到域B,假装是域A,域B将坦率地接受上传,因为它在crossdomain.xml中的白名单中列出了域A. 如果它可以像上面那样容易被规避,那么crossdomain.xml的目的是什么？我对此的理解可能完全错了.洞察力会有所帮助. 解决方法
crossdomain.xml无法替换登录系统.它只是告诉Flash：’嘿,你可以从我的服务器上读取(和使用)数据’.
crossdomain.xml非常容易绕过,因此不能将其视为网站的正确安全功能. 因此,总而言之,如果您想要安全,只需在“DomainB”上实现登录功能即可. （编辑：李大同） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |