 描述
执行恶意攻击者技巧受害者flash内容执行命令或使flash调用指定的攻击者。这种攻击的一个例子是跨站点闪烁,攻击者控制参数的引用调用加载从攻击者指定的内容。
攻击的可能性
典型的严重性
的关系
 此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
| 自然 |
类型 |
ID |
的名字 |
| ChildOf |
 元在CAPEC攻击模式——元级别攻击模式的量化无疑是一个抽象的描述一个特定的方法或技术用于攻击。元攻击模式往往是空虚的一个特定的技术或实现,旨在提供一个高水平的理解方法。元级攻击模式是一个泛化的攻击模式相关的标准水平。元级攻击模式尤其适用于架构和设计水平的威胁建模练习。 |
137年 |
参数注入 |
| ParentOf |
 详细的攻击模式-一个详细级别攻击模式CAPEC提供了一个低水平的细节,通常利用一个特定的技术和针对特定的技术,并表达一个完整的执行流程。详细的攻击模式比元更具体的攻击模式和标准的攻击模式,通常需要一个特定的保护机制来减轻实际攻击。详细的级别攻击模式通常会利用许多不同的标准水平攻击模式链接在一起来完成一个目标。 |
174年 |
Flash参数注入 |
| ParentOf |
详细的攻击模式-一个详细级别攻击模式CAPEC提供了一个低水平的细节,通常利用一个特定的技术和针对特定的技术,并表达一个完整的执行流程。详细的攻击模式比元更具体的攻击模式和标准的攻击模式,通常需要一个特定的保护机制来减轻实际攻击。详细的级别攻击模式通常会利用许多不同的标准水平攻击模式链接在一起来完成一个目标。 |
178年 |
跨站点闪烁 |
| CanAlsoBe |
元在CAPEC攻击模式——元级别攻击模式的量化无疑是一个抽象的描述一个特定的方法或技术用于攻击。元攻击模式往往是空虚的一个特定的技术或实现,旨在提供一个高水平的理解方法。元级攻击模式是一个泛化的攻击模式相关的标准水平。元级攻击模式尤其适用于架构和设计水平的威胁建模练习。 |
248年 |
命令注入 |
此表显示了这种攻击模式的观点属于和顶级类别内的这一观点。
执行流程
探索
发现注入入口点:攻击者首先需要一个应用程序的入口点的库存。
| 技术 |
| 蜘蛛的网站的url引用一个Flash应用程序可用。 |
| 列出所有未初始化的全局变量(如_root。*,_global。在ActionScript _level0 *。*),注册全局变量包括文件,加载外部变量的电影。 |
实验
确定应用程序的易感性Flash注入:确定应用程序的易感性Flash注入。为每个URL标识在探索阶段,攻击者试图使用各种技术,如直接负载asfunction控制邪恶的页面/主机,Flash HTML注入和DOM注入,以确定应用程序是否容易闪注入。
| 技术 |
| 测试页面使用直接负载asfunction、getURL javascript: gotRoot (" ") / / / d.jpg |
| 测试页面使用控制邪恶/主机,http://example.com/evil.swf |
| 使用Flash测试页面的HTML注入,“> < img src = " asfunction: getURL, javascript: gotRoot (" ") / / jpg”> |
| 测试页面使用DOM注入,(gotRoot (")) |
利用
目标:注入恶意内容注入恶意内容目标利用脆弱注入向量确定了在实验阶段
先决条件
| 目标必须能够运行Flash应用程序。在某些情况下,受害者必须遵循一个attacker-supplied链接。 |
技能要求
|
(级别:中等) Flash的攻击者需要有知识,尤其是如何插入内容的执行命令。 |
所需资源
| 没有:不需要专门的资源来执行这种类型的攻击。攻击者可能需要注入的Flash内容服务。 |
后果
这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
保密 |
其他 |
|
|
完整性 |
修改数据 |
|
|
保密 |
读取数据 |
|
|
授权 |
执行未经授权的命令 |
|
|
问责制
身份验证
授权
不可抵赖性 |
获得特权 |
|
|
访问控制
授权 |
旁路保护机制 |
|
缓解措施
| 实现:删除敏感信息,比如用户名和密码的SWF文件。 |
| 实现:使用客户端和服务器端验证。 |
| 实现:删除调试信息。 |
| 当加载外部数据实现:使用SSL |
| 实现:使用crossdomain。xml文件允许应用程序域加载的东西或SWF文件被其他领域。 |
例子,实例
在以下示例中,SWF文件包含
getURL (javascript: SomeFunc (“someValue”)“,”,“得到”) 一个请求就像
http://example.com/noundef.swf?a=0:0;警报(XSS) 就变成了
javascript: SomeFunc (“someValue”) ? = 0时,警报(123) |
引用
|
REF-46 Di Paola斯特凡诺。“在Flash应用程序找到漏洞”。OWASP Appsec 2007。2007-11-15。 |
|
|
|
|
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2017-05-01
(版本2.10) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
| 2017-08-04
(版本2.11) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Resources_Required |
| 2018-07-31
(版本2.12) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Attacker_Skills_or_Knowledge_Required |
| 2019-04-04
(版本3.1) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新后的后果 |
| 2022-09-29
(版本3.8) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Example_Instances |
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
