2023年12月10日发(作者：)

摘要：本文通过分析Ｆｌａｓｈ在网络应用中存在的漏洞，提出解决在网络上运行Ｆｌａｓｈ过程中产生的跨站脚本攻击问题的两种方法，使Ｆｌａｓｈ在网络的应用中更加安全可靠。关键词：Ｆｌａｓｈ；安全策略；漏洞中图分类号：ＴＰ３９３．０８文献标识码：Ａ文章编号：１６７４－５０７８（２０１３）０３—００８４－０３ＤｏＩ：１０．３９６９０．ｉｓｓｎ．１６７４－５０７８．２０１３．０３．０２６Ｆｌａｓｈ是Ａｄｏｂｅ公司开发的网页多媒体制作（二）百度空间ｎａｓｈＸＳＳ跨站脚本攻击工具，具备向量绘图与动画编辑功能。它是一种交在百度空间，Ｆｌａｓｈ模块使用白名单验证其添互式动画设计工具，用它可以将音乐，声效，动画加的ＳＷＦ文件是否安全，我们可以通过ｈｔｔｐ：／／ｗａｐ．以及富有新意的界面融合在一起，以制作出高品ｂａｉｄｕ．ｃｏｍ／ｒｅｄｉｒｅｃｔ．ｊｓｐ任意跳转信任域来添加恶意质的网页动态效果。在Ｆｌａｓｈ被嵌人ＨＴＭＬ的同ＳＷＦ文件，绕过其安全验证，从而引发ＸＳＳ跨站脚时，其安全问题也越来越得到重视。Ｆｌａｓｈ中可以本攻击（该漏洞已修补）。ｈｔｔｐ＇Ｙ／ｗａｐ．ｂａｉｄｕ．ｃｏｍ／ｒｅｄｉｒｅｃｔ．被嵌入并执行ＪａｖａＳｃｒｉｐｔ代码，域安全操作由其ｉｓｐ？ｕｒｌ＝ｈｔｔｐ：／／ｗｗｗ．ＸＸＸ．ｏｒｇ／ｈｉ．ｓｗ￡如图２所示．ＣｒｏｓｓＤｏｍａｉｎ．ｘｍｌ文件决定，并不受同源策略限制，可以轻易进行跨域操作，使整个应用程序受到威鳓爱蠹国毯交国王舞（王；麓溉蹲》《企≮图忡删．ｂａｉｄｕ．ｃｏｒｎ／１４ｍｐ匿胁。Ｆｌａｓｈ的安全问题正时刻威胁着大型ｗｅｂ系ｆ－ｋ＿ｔｌｌｔ豁霜－，菠氧统，诸如ＳＮＳ社区、电子邮箱等等。匦氢囊三运ｉ面面两面磊函广—ｉ匝蔓西区巫圄量基殛一、面临的威胁ｍｅｎｚ蛳００７鲢Ｉ我豹消患ｆ１＿１３》ｌ我雌闻Ｉ勇Ｉ我的应用团Ｊ（一）ＧｏｏｇｌｅＧｍａｉｌＦｌａｓｈＸＳＳ跨站脚本攻击Ｇｍａｉｌ中添加Ｆｌａｓｈ电影功能文件ｕｐｌｏａｄｅｒａｐｉ２．ｓｗｆ中存在Ｆｌａｓｈ参数注人。用户可以任意变量引发ＸＳＳ跨站脚本攻击（该漏洞已修补）。如下ＵＲＬ：ｈｔｔｐｓ：／／ｍａｉｌ．ｇｏｏｇｌｅ．ｃｏｍ／ｍａｉｌ／ｕｐｌｏａｄｅｒ／ｕｐｌｏａｄｅｒａｐｉ图２百度空Ｉ司ＸＳＳ漏洞２．ｓｗｆ？ａｐｉｌｎｉｔ＝ｅｖａｌ＆ａｐｉｌｄ＝ａｌｅｒｔ（ｄｏｃｕｍｅｎｔ．ｃｏｏｋｉｅ）．如图１所示．二、Ｆｌａｓｈ安全防御策略（一）安全沙箱客户端可能需要加载来自不同域的资源文件，比如大型网站将图片和主站放在不同服务器上，以增加负载能力。当加载不同域的Ｆｌａｓｈ文件时，Ｆｌａｓｈ会根据ＳＷＦ文件来源将每个ＳＷＦ文件单独分配到安全沙箱中。Ｆｌａｓｈ安全沙箱规则控制着给定沙箱内的ＳＷＦ文件可以访问的内容。根据图１Ｇｍａｉｌ中Ｆｌａｓｈ参数注入漏洞操纵对象，将其分为远程沙箱和本地沙箱。收稿日期：２０１３—０２—２８作者简介：张永福（１９８１一），男，山西榆次人，硕士。主要研究方向为网页制作、网站开发、网络课程开发与应用。远程沙箱是指Ｆｌａｓｈ将来ｃａ不同域的ＳＷＦ文件分类整理到单独的沙箱中，这些沙箱与各自原始域相对应。通常情况下，对于来ｃａ不同域的ＳＷＦ文件授予它访问自身所在服务器中任何资源的权限。通过显式授权方法，允许不同域的ＳＷＦ文件访问其它域的数据。远程ＳＷＦ文件无法加载任何本地文件或资源，这里需要引用本地沙箱。本地沙箱是指只能与本地文件系统（协议或统一命名约定（ＵＮＣ）路径引用的任何文件）内容交互的沙箱。在本地ＨＴＭＬ文件和本地ＳＷＦ文件之间访问脚本要求所涉及的ＨＴＭＬ文件和ＳＷＦ文件都在受信任的本地沙箱中。生成Ｆｌａｓｈ文件时，我们点击“文件”，选择“发布设置”，再选择“Ｆｌａｓｈ”，从“本地回放安全性”弹出菜单中，选择要使用的Ｆｌａｓｈ安全沙箱。指定是授予已发布的ＳＷＦ文件本地安全性访问权，还是网络安全性访问权。“只访问本地”可使已发布的ＳＷＦ文件与本地系统上的文件和资源交互，但不能与网络上的文件和资源交互，即本地沙箱策略。“只访问网络”可使已发布的ＳＷＦ文件与网络上的文件和资源交互，但不能与本地系统上的文件和资源交互，即远程沙箱策略。（二）域安全策略１．ＣｒｏｓｓＤｏｍａｉｎ文件安全策略当加载不同域的Ｆｌａｓｈ文件进行跨域操作时，可以设定ＣｒｏｓｓＤｏｍａｉｎ．ｘｍｌ文件限定其跨域权限。ＣｒｏｓｓＤｏｍａｉｎ．ｘｍｌ文件中可以配置Ｆｌａｓｈ跨域操作内容。通过配置该文件，我们可以根据实际所需进行跨域操纵。代码演示，该策略文件允许访问木．ｓｘｌｙ．ｃｏｒｎ．ｃｎ＜？ｘｍｌｖｅｒｓｉｏｎ＝”１．０”ｅｎｃｏｄｉｎｇ＝”ＵＴＦ－８７＞＜ｃｒｏｓｓ－ｄｏｍａｉｎ—－ｐｏｌｉｃｙ＞＜ａｌｌｏｗ－ａｃｃｅｓｓ－ｆｒｏｍｄｏｍａｉｎ＝＂＊．ｓｘｌｙ．ｃｏｍ．ｃｎ”／＞＜／ｃｒｏｓｓ－ｄｏｍａｉｎ－ｐｏｌｉｃｙ＞默认Ｊ隋况下，策略文件必须命名为ＣｒｏｓｓＤｏｍａｉｎ．ｘｍｌ，并且必须位于服务器的根目录中。当ＳＷＦ文件试图访问不同域中的数据时，ＦｌａｓｈＰｌａｙｅｒ会尝试自动从该域中加载ＣｒｏｓｓＤｏｍａｉｎ．ｘｍｌ策略文件。如果试图访问数据的ＳＷＦ文件所在的域包括在该策略文件当中，则数据将自动成为可访问数据。ＳＷＦ文件还可以通过调用Ｓｅｃｕｒｉｔｙ．１０ａｄＰｏｌｉｃｙＦｉｌｅ（）方法来检查试图访问的数据是否为其它名称或者是否位于其它目录下。跨域策略文件只能在加载·学术探讨·该文件的目录及其子目录中使用。因此，位于服务器根目录中的策略文件适用于整个服务器，但是从服务器中任意子目录下加载的策略文件仅适用于该目录及其子目录。策略文件只能影响它所在特定服务器的访问，和同源策略一样，主机名、端口和协议都必须相同。跨域策略文件包含单个＜ＣｒｏＳＳ—ｄｏｍａｉｎ—ｐｏｌｉｃｙ＞标签，这个＜ｃｒｏｓｓ－ｄｏｍａｉｎ—ｐｏｌｉｃｙ＞标签又包含零个或多个＜ａｌｌｏｗ—ａｃｃｅｓｓ—ｆｒｏｍ＞标签。每个＜ａｌｌｏｗ—ａｃｃｅｓｓ—ｆｒｏｍ＞标签包含一个属性ｄｏｍａｉｎ，这个属性中包含一个固定的ＩＰ地址、一个固定的域或一个通配符域。通配符域由单个星号（木）或后接后缀的星号表示。后缀必须以点开头。例如：ｈｔｔｐ：／／ｗｗｗ．ｓｘｒｂ．ｃｏｍ／ｃｒｏｓｓｄｏｍａｉｎ．ｘｍｌ，内容如下：＜？ｘｍｌｖｅｒｓｉｏｎ＝“１．０”ｅｎｃｏｄｉｎｇ＝“ＵＴＦ－８７＞＜！ＤＯＣＴＹＰＥｃｒｏｓｓ－ｄｏｍａｉｎ－ｐｏｌｉｃｙＳＹＳＴＥＭ“ｈｔｔｐ：／／ｗｗｗ．ｍａｃｒｏｍｅｄｉａ．ｃｏｍ／ｘｍｌ／ｄｔｄｓ／ｃｒｏｓｓ－ｄｏｍａｉｎ—ｐｏｌｉｃｙ．ｄｔｄ”＞＜ｃｒｏｓｓ－ｄｏｍａｉｎ－ｐｏｌｉｃｙ＞＜ｓｉｔｅ－ｃｏｎｔｒｏｌｐｅｒｍｉｔｔｅｄ－ｃｒｏｓｓ－ｄｏｍａｉｎ—－ｐｏｌｉｃｉｅｓ＝“ｂｙ－ｃｏｎｔｅｎｔ—ｔｙｐｅ”／＞＜／ｃｒｏｓｓ－ｄｏｍａｉｎ－ｐｏｌｉｃｙ＞其中＜ｓｉｔｅ—ｃｏｎｔｒｏｌｐｅｒｍｉｔｔｅｄ—ｃｒｏｓｓ—ｄｏｍａｉｎ—ｐｏｌｉｃｉｅｓ＝“ｂｙ—ｃｏｎｔｅｎｔ—ｔｙｐｅ”，＞是节点控制，不加这个选项时，Ｆｌａｓｈ不加载除去主策略文件以外的其他策略文件，即只接受根目录里的／ｃｒｏｓｓｄｏｍａｉｎ．ｘｍｌ策略文件。当需要启用其他策略文件，我们可以通过修改节点控制文件来实现，当文件为＜ｓｉｔｅ—ｃｏｎｔｒｏｌｐｅｒｍｉｔｔｅｄ－－ｃｒｏｓｓ－ｄｏｍａｉｎ－ｐｏｌｉｃｉｅｓ＝“ｂｙ—ｃｏｎｔｅｎｔ—ｔｙｐｅ”／＞时只允许ｈｔｔｐ头为ｔｅｘｔ／ｘ—ｃｒｏｓｓ—ｄｏｍａｉｎ—ｐｏｌｉｃｙ的策略文件，当文件为＜ｓｉｔｅ—ｃｏｎｔｒｏｌｐｅｒｍｉｔｔｅｄ—ｃｒｏｓｓ—ｄｏｍａｉｎ—ｐｏｌｉｃｉｅｓ＝“ａｌｌ”，＞时允许所有的ｔｅｘｔ／ｘｍｌ等格式的策略文件。我们还可以设定＜ａｌｌｏｗ—ａｃｃｅｓｓ—ｆｒｏｍｄｏｍａｉｎ＝“＝ｌｃ．ｓｘｒｂ．ｃｏｍ”／＞来判断哪些域可以被请求。２．Ｓｅｃｕｒｉｔｙ．ａｌｌｏｗＤｏｍａｉｎ（）函数在ＡｃｔｉｏｎＳｃｒｉｐｔ中可以通过Ｓｅｃｕｒｉｔｙ．ａｌｌｏｗＤｏｍａｉｎ（）方法，来设置域安全策略。比如我们在ＡｃｔｉｏｎＳｃｒｉｐｔ中添加如下代码：Ｓｅｃｕｒｉｔｙ．ａｌｌｏｗＤｏｍａｉｎ（“ｗｗｗ．ｇｏｏｇｌｅ．ｃｏｍ”），表示允许该ＳＷＦ文件向砌州．ｇｏｏｇｌｅ．ｃｏｎ域执行跨域操作。（三）Ｓｃｒｉｐｔ安全控制张水福喇ｌａＳｒ安全策略探究一晋城职业技术学院报二。一三年第六卷三期一总第二十九期一·学术探讨·ＡｃｔｉｏｎＳｃｒｉｐｔ３．０中可以通过如下函数执行参数可以选择的值包括：“Ａｌｗａｙｓ”（允许所有）、ｉａｖａｓｃｒｉｐｔ代码：ｆｌａｓｈ．ｓｙｓｔｅｍ．ｆｓｃｏｍｍａｎｄ（）、ｆｌａｓｈ．ｎｅｔ．“ＳａｍｅＤｏｍａｉｎ”（允许同域）和“Ｎｅｖｅｒ”（禁止所有），ｎａｖｉｇａｔｅＴｏＵＲＬ（）、ｆｌａｓｈ．ｎｅｔ．ｎａｖｉｇａｔｅＴｏＵＲＬ（）、Ｅｘｔｅｒ默认值是“ＳａｍｅＤｏｍａｉｎ”。ｎａｌＩｎｔｅｒｆａｃｅ．ｃａｌｌ（）。例如在ＡｃｔｉｏｎＳｃｒｉｐｔ２．０中，我ＡｌｌｏｗＮｅｔｗｏｒｋｉｎｇ参数可以控制Ｆｌａｓｈ与外部张们编写如下代码：的网络通讯，改参数可以选择的值包括：Ａｌｌ（允许水ｇｅｔＵＲＬ（”ｊａｖａｓｃｒｉｐｔ：ａｌｅｒｔ（，ｘｓｓ，）；”，”一ｓｅｌｆ＇’，”使用所有的网络通讯，默认值）、Ｉｎｔｅｒｎａｌ（Ｆｌａｓｈ不ＧＥＴ”）；即可弹出熟悉的对话框。如图３所示。能与浏览器通讯如ＮａｖｉｇａｔｅＴｏＵＲＬ，但是可以调用福其他的ＡＰＩ）、Ｎｏｎｅ（禁止任何的网络通讯）。三、结论本文针对网络上最为流行的媒体软件Ｆｌａｓｈ所存在的安全隐患进行了分析，提出相应的解决Ｆ１＆Ｉｌ方案，在引起大家广泛关注的同时，为信息的安全安提供了解决办法，使得Ｆｌａｓｈ在网络上的应用更加安全可靠。全图３ＡｃｔｉｏｎＳｃｒｉｐｔ２．０中ｊａｖａｓｃｆｉｐｔ代码演示策参考文献：对于本地运行的ＳＷＦ文件，只有当ＳＷＦ文件［１］潘彪．浅谈ｆｌａｓｈ控制技术在组装实验中的应用［Ｊ］．略和包含该文件的网页同时存在于受信任的本地安电脑知识与技术，２０１１（３６）．探全沙箱时，才能成功调用这些方法。如果文件位于［２］许伟．安全技术在ｆｌａｓｈ通信及传输中的应用［Ｊ］．信只能与本地文件系统内容交互的沙箱中或只能与远息技术，２０１０（３）．究程内容交互的沙箱，那么这些方法将无法调用。ＨＴＭＬ［３］黄林伟．Ｈｅｘ开发ｆｌａｓｈ网站的使用与安全策略［Ｊ］＿代码中用于加载文件的ＡｌｌｏｗＳｃｒｉｐｔＡｃｃｅｓｓ参数可科技视界，２０１２（２１）．以设定是否执行Ｊａｖａｓｃｒｉｐｔ代码。ＡｌｌｏｗＳｃｒｉｐｔＡｃｃｅｓｓＡｎＥｘｐｌｏｒａｔｉｏｎｏｆＦｌａｓｈＳｅｃｕｒｉｔｙＰｏｌｉｃｙＺＨＡＮＧＹｏｎｇ——ｆｕ（ＳｈａｎｘｉＦｏｒｅｓｔｒｙＴｅｃｈｎｉｃａｌＶｏｃａｔｉｏｎａｌＣｏｌｌｅｇｅ，Ｔａｉｙｕａｎ０３０００９，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ：ＢｙａｎａｌｙｚｉｎｇｔｈｅｐｒｏｂｌｅｍｓｏｆｔｈｅａｐｐｌｉｃａｔｉｏｎｏｆＦｌａｓｈｉｎｎｅｔｗｏｒｋ，ｔｈｅｐａｐｅｒｐｕｔｓｆｏｒｗａｒｄｔｗｏｃｏｎｃｒｅｔｅｍｅｔｈｏｄｓｏｆｃｒｏｓｓ—ｓｉｔｅｓｃｒｉｐｔｉｎｇｉｎｔｈｅａｐｐｌｉｃａｔｉｏｎｏｆＦｌａｓｈ．Ｔｈｅａｕｔｈｏｒｈｏｐｅｓｔｏｆｉｎｄｅｆｆｅｃｔｉｖｅｗａｙｓｔｏｄｅａｌｗｉｔｈｓｅｃｕｒｉｔｙｌｏｏｐｈｏｌｅｓ，ｍａｋｉｎｇｔｈｅａｐｐｌｉｃａｔｉｏｎｓｏｆＦｌａｓｈｉｎｔｈｅｎｅｔｗｏｒｋｍｏｒｅｓｅｃｕｒｅａｎｄｒｅｌｉａｂｌｅ．ＫｅｙＷｏｒｄｓ：Ｆｌａｓｈ；ｓｅｃｕｒｉｔｙｐｏｌｉｃｙ；ｌｏｏｐｈｏｌｅ一晋城职业技术学院报二。、；年第．。卷三期一总第二十九期一