远程Flash文件是否易受攻击？

Question

目前，我允许用户在我的网站上向他们的个人资料中添加应用程序/ x-shockwave-flash对象。我只过滤了网址，内容类型设置为“application/x-shockwave-flash”

是否有任何漏洞允许我的用户链接到远程Flash /视频文件？

Answer 1

原则上应该是安全的，假设用户只指定一个文件（他们不写嵌入代码），并且他们不能将文件上传到您的服务器。

您可能会在嵌入SWF的嵌入标记中使用allowNetworking和allowScriptAccess参数，以限制这些嵌入的SWF允许执行的操作。详情请参阅here。

此外，我假设您的服务器上没有widedo open crossdomain.xml文件。如果您全部打开跨域访问权限，那么我认为盗链未知SWF可能是不安全的。 （如果您没有任何crossdomain.xml策略文件，那么您很好 - 默认情况下，如果不存在策略，则不授予访问权限。）

Answer 2

由于用户生成的Flash内容将托管在其他域中，因此它将在Flash播放器中进行沙盒处理，并且将无法访问您的域中的任何关键内容。