遠程Flash文件是否易受攻擊？

Question

目前，我允許用戶在我的網站上向他們的個人資料中添加應用程序/ x-shockwave-flash對象。我只過濾了網址，內容類型設置爲「application/x-shockwave-flash」

是否有任何漏洞允許我的用戶鏈接到遠程Flash /視頻文件？

Answer 1

原則上應該是安全的，假設用戶只指定一個文件（他們不寫嵌入代碼），並且他們不能將文件上傳到您的服務器。

您可能會在嵌入SWF的嵌入標記中使用allowNetworking和allowScriptAccess參數，以限制這些嵌入的SWF允許執行的操作。詳情請參閱here。

此外，我假設您的服務器上沒有widedo open crossdomain.xml文件。如果您全部打開跨域訪問權限，那麼我認爲盜鏈未知SWF可能是不安全的。 （如果您沒有任何crossdomain.xml策略文件，那麼您很好 - 默認情況下，如果不存在策略，則不授予訪問權限。）

Answer 2

由於用戶生成的Flash內容將託管在其他域中，因此它將在Flash播放器中進行沙盒處理，並且將無法訪問您的域中的任何關鍵內容。