新CAPEC吗?从这里开始
家>CAPEC列表> capec - 178:跨站点闪烁(版本3.9)

capec - 178:跨站点闪烁
攻击模式ID: 178
抽象:详细的
视图定制的信息:
+描述
攻击者能够诱骗受害人执行一个Flash文件,通过命令或调用一个Flash播放器的浏览器插件,允许攻击者利用本地Flash功能在客户端浏览器。这种攻击模式出现,攻击者可以提供一个精心制作的链接一个Flash文件(SWF文件),当之后,将导致额外的恶意指令被执行。攻击者不需要服务或控制Flash文件。攻击利用的Flash文件可以引用外部url。如果变量作为Flash应用程序引用的url可以通过控制参数,然后通过创建一个链接,包括这些参数值,攻击者可以使任意内容可能被引用和执行针对Flash应用程序。
+攻击的可能性

媒介

+典型的严重性

媒介

+的关系
部分帮助此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
自然 类型 ID 的名字
ChildOf 标准的攻击模式标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 182年 Flash注入
光束 详细的攻击模式详细的攻击模式-一个详细级别攻击模式CAPEC提供了一个低水平的细节,通常利用一个特定的技术和针对特定的技术,并表达一个完整的执行流程。详细的攻击模式比元更具体的攻击模式和标准的攻击模式,通常需要一个特定的保护机制来减轻实际攻击。详细的级别攻击模式通常会利用许多不同的标准水平攻击模式链接在一起来完成一个目标。 174年 Flash参数注入
部分帮助此表显示了这种攻击模式的观点属于和顶级类别内的这一观点。
视图名称 顶级类别
域的攻击 软件,社会工程
机制的攻击 注入意想不到的东西
+执行流程
探索

  1. 标识:使用浏览器或一个自动化工具,攻击者记录URL的所有实例(或域)等部分URL传递给一个flash文件(SWF)。

    技术
    使用自动化工具来记录变量传递给一个flash文件。
    网站使用浏览器手动探索和分析flash文件接收变量,例如JavaScript使用SetVariable / GetVariable, HTML FlashVars参数标记等。
    使用反编译器来检索flash源码和记录所有用户可控变量传递给loadMovie *指令。
实验

  1. 试图注入一个远程flash文件:可用的远程攻击者利用flash文件(SWF),产生一个输出执行时在有针对性的flash文件的唯一标识。

    技术
    修改变量的SWF文件,其中包含远程电影URL攻击者控制的flash文件。
利用

  1. 访问或修改Flash应用程序变量:攻击者成功利用该漏洞,他们偷窃的flash应用程序变量的内容目标内容,密码等。

    技术
    发展注入恶意Flash应用程序通过向量确定了在实验阶段和由受害者浏览器的加载Flash插件并将文档信息发送给攻击者。
    发展注入恶意Flash应用程序通过向量确定在实验阶段和需要命令从攻击者的服务器,然后适当地使Flash应用程序执行。

  2. 在受害者的浏览器中执行JavaScript:攻击者的目标当前的flash应用程序时,可以选择注入JavaScript客户端DOM,因此执行跨站点脚本攻击。

    技术
    开发恶意JavaScript从流氓flash影片注入到目标flash应用程序通过向量确定了在实验阶段和加载在受害者的浏览器。
+先决条件
针对Flash应用程序必须引用外部url,因此引用的位置必须通过参数控制。Flash应用程序必须不清洁等参数对恶意操纵。受害人必须遵循一个攻击者创建的链接。
+技能要求
(级别:中等)
Flash内部的知识,和远程引用参数。
+后果
部分帮助这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
范围 影响 可能性
完整性
修改数据
保密
读取数据
授权
执行未经授权的命令
问责制
身份验证
授权
不可抵赖性
获得特权
访问控制
授权
旁路保护机制
+缓解措施
实现:只允许URL包含称为远程flash影片在flash应用程序
正确配置:配置crossdomain。xml文件只包含已知的领域应该主机远程flash影片。
+例子,实例
攻击者试图让他们的恶意flash影片在针对flash应用程序执行。恶意文件驻留在attacker.com域和目标flash应用程序是crossdomain托管在example.com。xml文件的根example.com允许所有领域,没有特定的限制是针对flash应用程序中指定。当攻击者注入他们的恶意文件的脆弱的flash影片,流氓flash应用程序能够访问内部flash影片的变量和参数。
+引用
REF-41 Di Paola斯特凡诺。“测试Flash应用程序”。2007年。<http://www.wisec.it/en/Docs/flash_App_testing_Owasp07.pdf>。
[REF-42]“OWASP网络安全测试指南”。测试跨站闪烁。开放的Web应用程序安全项目(OWASP)。<https://www.owasp.org/www-project-web-security-testing-guide/latest/4-Web_Application_Security_Testing/11-Client-side_Testing/08-Testing_for_Cross_Site_Flashing.html>。
[ref - 561]“跨站点闪烁”。网络爬行。<http://doc.cenzic.com/sadoc9x14ba847/CPL0001509.htm>。
+内容的历史
提交
提交日期 提交者 组织
2014-06-23
(版本2.6)
 CAPEC内容团队 manbetx客户端首页
修改
修改日期 修饰符 组织
2019-04-04
(版本3.1)
 CAPEC内容团队 manbetx客户端首页
更新后的后果,引用
2020-07-30
(版本3.3)
 CAPEC内容团队 manbetx客户端首页
更新Example_Instances Execution_Flow
2020-12-17
(版本3.4)
 CAPEC内容团队 manbetx客户端首页
更新的引用
2023-01-24
(版本3.9)
 CAPEC内容团队 manbetx客户端首页
更新Related_Weaknesses
更多的信息是可用的,请选择一个不同的过滤器。
页面最后更新或审查:2018年7月31日

使用常见的攻击模式枚举和分类(CAPEC)和相关的引用从这个网站的使用条款。CAPEC赞助的美国国土安全部(DHS)网络和基础设施安全机构(CISA)和管理的国土安全系统工程和发展研究所这是由(HSSEDI)manbetx客户端首页(斜方)。版权©2007 - 2023,斜方公司。manbetx客户端首页CAPEC和CAPEC标志是斜方公司的商标。manbetx客户端首页