crossdomain.xml和安全問題

Question

我讀了很多關於使用Flash，Javascript等的跨站點腳本，還發現了幾個列表，其中包含具有允許從任何服務器訪問的crossdomain.xml的網站。例如flickr.com信任所有域。

有人可以解釋爲什麼這似乎是安全的，不會導致像會話劫持這樣的攻擊嗎？是否因爲這些crossdomain.xml僅在子域上有效，不會使攻擊者獲得會話密鑰成爲可能？

Answer 1

使用crossdomain.xml文件can be very dangerous並可以打開網站到嚴重的攻擊。有兩條經驗規則，以防止從開放的安全漏洞跨域策略：

1. 不要把一個跨域策略文件在Intranet站點
2. 不要把一個跨域策略文件上使用cookie

網站

跨域策略文件的有效使用位於api.flickr.com等網站上，其中只有不使用cookie的服務。