10月20日稍早信息，Adobe企業(yè)已經(jīng)修補(bǔ)一個(gè)Flash有關(guān)的系統(tǒng)漏洞，該系統(tǒng)漏洞能夠被運(yùn)用暗地里開啟瀏覽量的話筒和監(jiān)控?cái)z像頭。
“該難題在Adobe網(wǎng)絡(luò)服務(wù)器的Flash播放軟件設(shè)置管理器中”，Adobe的新聞發(fā)言人Wiebke Lips表明。“技術(shù)工程師已經(jīng)抓緊漏洞補(bǔ)丁工作中”，Lips在e-mail中表明，“留意的是該系統(tǒng)漏洞不容易涉及到或必須商品升級(jí)，可被線上在服務(wù)端修補(bǔ)。QA工作中進(jìn)行后將立刻公布。”
預(yù)估該系統(tǒng)漏洞會(huì)在本禮拜天被修補(bǔ)結(jié)束。
該系統(tǒng)漏洞是由斯坦福學(xué)校計(jì)算機(jī)專業(yè)的學(xué)員Aboukhadiieh發(fā)覺，并在昨日的blog中發(fā)布，且包括一段視頻短片。該進(jìn)攻應(yīng)用一種叫“clickjacking”的點(diǎn)一下被劫持方法，掩藏Flash設(shè)置管理器SWF文檔在網(wǎng)頁(yè)頁(yè)面iFrame的后邊，那樣能夠繞開framebusting JS編碼。(
北京市網(wǎng)站制作)
該系統(tǒng)漏洞進(jìn)攻曾在2008年出現(xiàn)過(guò)。
附來(lái)源于Znet的初期報(bào)導(dǎo)：
安全性權(quán)威專家們近期傳出警示，一個(gè)最新發(fā)現(xiàn)的跨電腦瀏覽器進(jìn)攻系統(tǒng)漏洞將產(chǎn)生十分恐怖的安全隱患，該系統(tǒng)漏洞危害全部流行桌面上服務(wù)平臺(tái)，包含，IE, Firefox, Safari, Opera及其AdobeFlash。這一被稱作Clickjacking的安全性威協(xié)，本來(lái)要在OWASP NYC AppSec 2008交流會(huì)上發(fā)布，但包含Adobe以內(nèi)的生產(chǎn)商要求臨時(shí)不必公布這一系統(tǒng)漏洞，直至她們開發(fā)設(shè)計(jì)出安全更新。
發(fā)覺這一系統(tǒng)漏洞的是2個(gè)安全性科學(xué)研究權(quán)威專家，Robert Hansen 與 Jeremiah Grossman，她們?cè)缫崖员砺读艘稽c(diǎn)基本信息以顯示信息該安全性威協(xié)的嚴(yán)重后果。
Clickjacking究竟是什么物品？
兩為科學(xué)研究專家建議，她們所發(fā)覺的并非小問(wèn)題，實(shí)際上，很嚴(yán)重，她們?cè)诒砺哆@種信息內(nèi)容以前必須擔(dān)起義務(wù)，這種難題一環(huán)套一環(huán)，最少早已有倆家生產(chǎn)商表明會(huì)出示補(bǔ)丁下載，但時(shí)間待定，大家現(xiàn)階段只和比較有限的好多個(gè)生產(chǎn)廠家討論這個(gè)問(wèn)題，因此，難題很嚴(yán)重。
依據(jù)這些在OWASP報(bào)名參加一半以上公開化演試的人表露，這一系統(tǒng)漏洞十分應(yīng)急，將危害到全部電腦瀏覽器，并且它和JavaScript并沒有關(guān)系：
總體來(lái)說(shuō)，如果你瀏覽一個(gè)垃圾網(wǎng)站的情況下，網(wǎng)絡(luò)攻擊能夠操縱你的電腦瀏覽器對(duì)一些連接的瀏覽，這一系統(tǒng)漏洞危害到基本上全部電腦瀏覽器，除非是你應(yīng)用lynx一類的標(biāo)識(shí)符電腦瀏覽器。這一系統(tǒng)漏洞與JavaScript不相干，即便你關(guān)閉瀏覽器的JavaScript作用也束手無(wú)策。實(shí)際上它是電腦瀏覽器原理中的一個(gè)缺點(diǎn)，沒法根據(jù)簡(jiǎn)易的補(bǔ)丁下載處理。一個(gè)垃圾網(wǎng)站能使你在絕不知情人的狀況下點(diǎn)一下隨意連接，隨意按紐或網(wǎng)址上隨意物品。
假如這還不可以給你焦慮得話，想一想那樣的情況，一個(gè)客戶在黑客攻擊的情況下將絕不知情人并且無(wú)計(jì)可施：
例如在Ebay,由于能夠置入JavaScript，盡管進(jìn)攻并不一定JavaScript，但能夠讓進(jìn)攻更非常容易開展。僅用lynx標(biāo)識(shí)符電腦瀏覽器才可以維護(hù)你自己，另外不必一切動(dòng)態(tài)性的物品。該系統(tǒng)漏洞采用DHTML，應(yīng)用防frame代碼能夠維護(hù)你沒受跨網(wǎng)站進(jìn)攻，但網(wǎng)絡(luò)攻擊仍能夠逼迫你點(diǎn)一下一切連接。你所做的一切點(diǎn)一下都被正確引導(dǎo)到故意連接上，因此，這些Flash手機(jī)游戲?qū)?dāng)仁不讓。據(jù)Hansen講，她們?cè)缫淹④浌炯捌銶ozilla討論過(guò)這個(gè)問(wèn)題，殊不知她們均表明它是個(gè)十分繁雜的難題，現(xiàn)階段沒有簡(jiǎn)易的解決方案。
標(biāo)識(shí)：
北京市網(wǎng)站制作 高檔網(wǎng)站建設(shè)
服務(wù)熱線
18911184380
在線咨詢
電話咨詢
18911184380
QQ咨詢
預(yù)約顧問(wèn)
