javascript - XSS 和 Flashvars 有什么可能？如何预防？

Question

最近，一位客户担心他们的 SWF 文件“不安全”，因为 XML 路径来自 Flashvars。在我看来，这并不是真正的问题，因为 SWF 仅显示图像/文本和一些按钮链接。我能理解有人如何找到 swf 的路径并添加远程 XML 路径以将 javascript 添加到按钮 url 目标，但这真的会造成什么损害？
例如。他们可以改变

http://mysite.com/theflash.swf?xmlpath=xml/thedata.xml

为此

 http://mysite.com/theflash.swf?xmlpath=http://dodgysite.com/thechangeddata.xml

显然他们可以围绕这个构建一个伪造的包装器 html 文件，但我仍然不明白他们如何用这个做任何有害的事情。我错过了什么吗？

我的下一个问题是防止这种情况发生的最佳方法是什么？
到目前为止，我的 XSS 检查类中有:

• 取消转义字符串并删除任何空格或换行符(\t、\n、\r)
• 检查字符串中的任何一个以下(作为函数:，javascript:，事件:, vbscript:)
• 检查绝对或相对路径通过寻找(http 或 https)
• 如果是绝对的，检查域是否是和正片一样。

这个过程的大部分我在这篇文章中找到:http://www.adobe.com/devnet/flashplayer/articles/secure_swf_apps_02.html

还有比这更好的方法吗？
还可以做些什么来防止 Flash 中的 XSS？

Answer 1

我认为你已经做得很好了!

这可能并不总是可行，但您也可以验证您收到的数据结构。

例如:如果 XML 包含图像路径，您可以验证文件是否以 .jpg/.png 结尾并从正确的目录加载。