Flash强制启动视频“Clickjacking”漏洞利用视频演示+工具+修复补丁

pop:仔细看了一下相关的文章,我个人觉得要是Adobe没有补丁的话,那么这个问题应该不一定是falsh播放器的问题,或许跟用户操作有关系。哈哈,不玩游戏,不点flash,没有摄像头,保证你能避免被别人利用。

利用视频:
http://www.youtube.com/v/gxyLbpldmuU&hl=zh_CN&fs=1

修复工具:
http://dl.360safe.com/360flashvfix.exe

Clickjacking漏洞形成介绍:
Clickjacking是OWASP_NYC_AppSec_2008_Conference的一个保密的议题

下面介绍摘抄于 刺的博客

Clickjacking太猥琐了

Clickjacking跟XSIO原理差不多,不过这个是弄个iframe设置为透明,然后用style控制别的元素的位置(z-index),比如伪造一个button。
这样当伪造的button漂浮在透明的iframe上时候,让人点击button,实际上就是点击了iframe里的那个链接。
所以当iframe指向某个网站时候,就可以欺骗用户去点击该网站里链接,所以anti-CSRF常常使用的token也会变得无效,因为这是用户自己的行为。
所以从另外一个角度来说,XSIO也是一种clickjacking,图片同样可以设置为透明。不过XSIO所无法达到的效果就是不能得到anti-CSRF的token。
在使用clickjacking的时候要记住IE下iframe是拦截本地cookie的,所以需要使用session cookie来达到CSRF的目的。

Clickjacking利用工具:
http://it.slashdot.org/firehose.pl?id=1206197&op=view

Related Posts

Leave a Reply

Your email address will not be published. Required fields are marked *

This site uses Akismet to reduce spam. Learn how your comment data is processed.