Mi1k7ea

Flash安全总结

阅读量

0x01 Flash简介

Adobe Flash是一种交互式矢量多媒体技术,被广泛应用于Web网站中,以增加特殊的动画效果和网页交互能力。

Flash Player与SWF

要想运行Flash程序,浏览器中必须安装Flash Player或Shockwave Player。

Flash Player是一款多媒体程序播放器,能够在各种浏览器、OS和移动设备上使用,兼容性高,应用广泛。

SWF(Shock Ware Flash)是Flash的专用格式,使用Flash Player即可运行SWF文件。此外,SWF文件可以直接嵌入到网页中去执行。

浏览器中SWF解释器如图:

可看到浏览器运行Flash应用程序的步骤:

  1. 浏览器解析HTML页面;
  2. 解析嵌入的Flash插件;
  3. Flash插件解析SWF字节码;
  4. 插件和浏览器通过LiveConnect接口进行交互;

ActionScript语言

ActionScript(简称AS)是由Macromedia(现已被Adobe收购)为其Flash产品开发的 ,最初是一种简单的脚本语言,现在最新版本ActionScript3.0,是一种完全的面向对象的编程语言,功能强大,类库丰富,语法类似JavaScript,多用于Flash互动性、娱乐性、实用性开发,网页制作和RIA(丰富互联网程序)开发。

目前,网上大多数Flash都是应用ActionScript2或ActionScript3来编写的。

一般是使用Adobe Flash CS系列的软件直接进行AS代码的编写和编译。

SWF文件编译与反编译

具体可参考之前的博文:https://www.mi1k7ea.com/2019/07/21/Flash%E5%9E%8BXSS%E5%B0%8F%E7%BB%93/#swf%E6%96%87%E4%BB%B6%E7%9A%84%E7%BC%96%E8%AF%91%E4%B8%8E%E5%8F%8D%E7%BC%96%E8%AF%91

嵌入Flash文件

在HTML页面中嵌入Flash,一般使用object和embed标签。

(1)使用embed标签:

1
<embed src="filename.swf" width="200" height="100" type="application/x-shockwave-flash" />

embed标签支持Mozilla系列的浏览器或其他支持Netscape插件的浏览器,IE也能识别。

(2)使用object标签:

IE下嵌入:

1
2
3
4
5
<object codeBase="http://fpdownload.macromedia.com/get/Flashplayer/current/swFlash.cab#version=8,0,0,0" classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000">
<param name="movie" value = "http://example.com/exp.swf" />
<param name="allowScriptAccess" value="always" />
<param name="allowNetworking" value="all" />
</object>

非IE下嵌入(IE8能成功,本地最新IE11也OK):

1
2
3
4
5
<object type="application/x-shockwave-Flash" data="./exp.swf">
<param name="movie" value = "./exp.swf" />
<param name="allowScriptAccess" value="always" />
<param name="allowNetworking" value="all" />
</object>

object标签用于引入对象,如图像、音频、视频、Java Applets、ActiveX、PDF以及Flash,用于IE系列或其他支持ActiveX控件的浏览器。

(3)使用object+embed标签:

1
2
3
4
5
<object classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000" codebase="http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab#version=6,0,29,0" width="200" height="100">  
<param name="movie" value="filename.swf">
<param name="wmode" value="transparent">
<embed src="filename.swf" width="200" height="100" type="application/x-shockwave-flash" />
</object>

为了确保大多数浏览器能正常显示Flash,建议把embed标签嵌套放在object标签内。

0x02 Flash安全模型

随着Flash功能越来越丰富,使用越来越广泛,导致Flash的安全问题也越来越多,因此就诞生了Flash安全模型,其主要提供以下几个方面的功能:

  • 利用沙箱控制和阻止外部Flash之间的交互和访问;
  • 控制浏览器和Flash之间的交互和访问;
  • 控制其他外部资源的访问;
  • 控制对其他服务器的通信;

Flash安全沙箱

Flash安全模型使用沙箱来定义各个Flash应用程序可以访问的数据以及操作的范围。

看图理解下:

安全域是Flash中最顶级的沙箱,安全域链接到内容的来源域名,比如a.com下的SWF文件包含一个链接到a.com的安全域,而b.com下的SWF文件则有一个链接到b.com的安全域。不同的安全域使得SWF文件在Flash Player中播放时运行在自身的沙箱下;

如果两个SWF文件分别处于不同的安全域,则任何一个SWF中的数据都不可以被另一个SWF获取,如a1.swf只能与同域下的a2.swf文件通信,b1.swf只能与同域下的b2.swf文件通信,若尝试获取其他域的SWF文件则会报错;

若想让两个处于不同安全域下的SWF文件通信,可以通过授权来实现。通过授权后,某个安全域内的文件即可获取另一个域内的文件数据。在AS中,SWF文件的授权是通过Security.allowDomain()函数来设置的,这个方法是应用于swf文件跨域加载swf文件并访问其内部属性、方法、类等的场景。

HTML参数权限机制API

在HTML页面嵌入Flash时,其中的Object和Embed标签都有allowScriptAccess参数和allowNetworking参数,主要是用于在HTML页面调用执行Flash文件的场景。

allowScriptAccess:控制html页面与Flash页面的通讯。

  • always:html和Flash页面的通讯不做任何的限制;
  • samedomain:html和Flash同域的时候可以做通讯【这个值是默认值】;
  • never:html和Flash禁止通讯。

allowNetworking:控制Flash与外部的网络通讯。

  • all:Flash所有的网络API通讯接口都可用;
  • internal:navigateToURL,fscommand,ExternalInterface.call不可用;
  • none:所有的网络API不可用。

allowScriptAccess和allowNetworking实际是Flash权限机制的API,前面提过的Security.allowDomain()函数也是其中的一个。allowScriptAccess和allowNetworking都属于HTML参数权限机制API。

Cross Domain Policy

如图描述:

默认情况下,在浏览器中运行的Flash程序是不允许访问其他域的数据的。为了解决这个问题,唯一方式就是跨域策略文件crossdomain.xml,其是放置在网站的Web根目录下,而该文件的内容必须遵从XML格式,如上图示例。

crossdomain.xml文件主要包含如下几个节点:

  • site-control:通过检查该节点的属性值,确认是否可以允许加载其他策略文件;
  • allow-access-from:通过检查该节点的domain属性值,确认是否为允许访问的域名;
  • allow-access-from-identity:配置跨域访问策略为允许有特定证书的来源跨域访问本域上的资源;
  • allow-http-request-headers-from:授权第三方域的Flash向本域发送用户定义的HTTP头;

常用的节点为allow-access-from,用来指明允许本域资源允许被哪些域名的Flash跨域请求。

默认情况下,Flash不加载除主策略文件之外的其他策略文件,但是设置了permitted-cross-domain-policies的by-content-type相关属性后,黑客就能通过上传文件来定义自己的策略文件。

设置管理器

在本地硬盘运行的SWF文件也有自己的安全域,可以通过Flash Player的设备管理器来设置。设备管理器允许用户为客户端PC上执行的Flash程序制定各种安全性、隐私和资源使用设置。

通过Flash Player设置管理器,可以管理全局保密性设置、存储设置、安全设置和自动通知设置等。

0x03 Flash XSS

Flash XSS主要有以下两种方式:

  • 与JavaScript通信引发的XSS;
  • 加载第三方资源引发的XSS(如SWF文件或XML文件);

具体的原理和攻击利用可参考:Flash型XSS总结

0x04 Flash CSRF

Flash CSRF在于:如果目标站点的crossdomain.xml中domain值为*或者其中某些domain下的站可被攻击者利用来上传Flash文件等,那么攻击者可以诱使受害者用户访问攻击页面,进而通过触发Flash请求某个用户当前浏览器已登录的页面,从中提取出CSRF的token或者页面的其他敏感信息,造成CSRF攻击。

具体的原理和攻击利用可参考:Flash型CSRF总结

0x05 XSF

XSF(Cross Site Flash)跨站Flash攻击,就是使用ActionScript加载第三方的Flash文件时,攻击者能控制这个第三方的Flash文件,这样就有可能造成XSF攻击,情况分为以下两种:

  • 当一个Flash文件调用某个函数如loadMovie()加载其他域的Flash文件时;
  • 当HTML页面使用*Script去加载解析一个Flash文件时;

以下函数如果使用不当就很容易产生XSF问题:

1
2
3
4
5
6
7
8
9
loadVariables()
loadMovie()
loadMovieNum()
FScrollPane.loadScrollContent()
LoadVars.send()
XML.load('URL')
LoadVars.load('url')
Sound.loadSound('url')
NetStream.play('url')

通过这些恶意接口,可以指定URL为我们构造的恶意文件如swf或xml文件,从而在目标网站实现JS攻击。

漏洞示例代码如图,_root是AS2参数传递的关键字,这里loadMovieNum()函数参数可由外部传入,导致可以在URL栏输入参数来加载攻击者的恶意SWF文件,造成XSF攻击:

0x06 FPI

FPI(Flash Parameter Injection)Flash参数型注入攻击,是一种动态注入Flash的全局参数的攻击技巧。

网页中的Flash是直接嵌入到HTML中的,因此不能被URI加载,但由于Flash的一些全局参数是可以通过URI的方式来设置的,因此如果攻击者能访问和控制值Flash的全局参数,就能进行Flash XSS和XSF等攻击了。

反射型FPI

和反射型XSS类似,攻击者可以通过外部输入参数来传入恶意内容,而传入的参数直接拼接到了生成HTML页面的代码中,造成反射型FPI。

在下面的代码中,Flash视频的名称是从请求的表单或URL参数获取的,并且被放在了生成HTML页面中,攻击者可能通过下面的URL覆盖一些Flash全局参数:

附带FlashVars的反射型FPI

这种方式使用FlashVars属性,该属性可以在object标签中指定,用来传递全局Flash参数。在AS2中,FlashVars会被自动导入到Flash程序的变量空间。当FlashVars属性可由外部控制时,存在反射型FPI。

漏洞示例代码如图,其中%26为&的URL编码:

FlashVars注入

当任意的object标签的属性作为参数接收时,都可能会导致这种攻击。

漏洞示例代码如图,width参数未经过过滤,直接传递到输出的HTML页面中,导致了攻击者可以注入FlashVars:

DOM型FPI

当document.location变量被用作Flash参数的时候,会导致此类攻击。

漏洞示例代码如图,这里有两个变量传递给Flash,一个是location、值为http://host/index.htm,另一个是globalVar、值为evil:

0x07 伪造HTTP头

可以使用ActionScript编写伪造HTTP头字段的请求,将该as代码编译成swf文件然后诱使用户访问导致CSRF或攻击者自己某些情况下伪造HTTP头字段进行发包都是OK的:

0x08 Flash钓鱼

这里并非是Flash本身的漏洞利用,而是将Flash作为钓鱼攻击的一种载体进行利用,因此这里不多说,具体可见:https://book.2cto.com/201310/34314.html。

0x09 Flash安全测试工具

OWASP推荐了一款名为SWFIntruder的测试工具,具体可参见OWASP链接:https://www.owasp.org/index.php/Category:SWFIntruder

0x0A 参考

FLASH_Security_OWASP

《XSS跨站脚本攻击剖析与防御》


Copyright © Mi1k7ea | 本站总访问量