S'agit-il d'une vulnérabilité d'application Web?

Question

Je passe une variable à un fichier SWF qui donne accès à plusieurs autres fichiers SWF. Vous pouvez voir la ligne que j'utilise pour attribuer la valeur à la variable sous le commentaire THIS LINE ci-dessous.

<script type="text/javascript"> 
       /*THIS LINE*/ 
       var flashvars = {a: "<%= User.Identity.IsAuthenticated %>"}; 
       /* 
        Some other stuff here... 
       */ 
     swfobject.embedSWF("index.swf", "myAlternativeContent", "100%", "100%", "10.0", "expressInstall.swf", flashvars, params, attributes); 
    </script> 

Je crains que quelqu'un en utilisant un proxy HTTP pourrait simplement changer la valeur de a de faux à vrai si elles voulaient avoir accès. Ai-je raison d'être inquiet?

Existe-t-il une façon différente de contrôler si l'accès au fichier SWF enfant est autorisé? Je dirais n'émettant rien qu'ils n'ont pas accès à

Answer 1

Dans ce cas, s'ils ne sont pas authentifiés, n'envoyez aucun de ces scripts au navigateur.

Oui, vous devriez être concerné. En supposant que vous ne pouvez pas changer le flux (ie: vous devez envoyer le script même s'il n'est pas authentifié), alors je changerais la valeur "true/false" en un type de clé. Les enfants doivent vérifier que la clé a été transmise avant l'exécution.

Si possible, rendez l'utilisateur clé spécifique.

Cela ne résout pas complètement le problème, mais il serait plus difficile pour quelqu'un de fournir une clé qu'ils n'ont pas.

MISE À JOUR:
Sur la base des très bons commentaires, j'ai un itinéraire différent. Ajoutez un gestionnaire de requêtes Web (fichier .ashx) sur le site.

Demandez au client de l'appeler pour charger le fichier swf. Le gestionnaire devrait d'abord tester pour voir si elles sont bien connectées. Si c'est le cas, servez le fichier. Si ce n'est pas juste de fermer la connexion.

changer Fondamentalement, la ligne embed pour ressembler à quelque chose comme:

swfobject.embedSWF("grabFile.ashx?id=123", "myAlternativeContent", "100%", "100%", "10.0", "expressInstall.swf", flashvars, params, attributes); 

Puis ont un gestionnaire de requêtes .ashx sur votre site de test pour être connecté avant response.writing le contenu réel du fichier swf.

Answer 2

Oui, ils pourraient. La sécurité ne fonctionne pas du côté du client, vous devez contrôler l'accès aux fichiers du serveur.

Answer 3

yup, il s'agit d'une vulnérabilité et vous n'avez pas besoin d'utiliser un proxy pour l'exploiter. Vous devriez refuser l'accès au serveur si vos utilisateurs ne sont pas authentifiés.

Answer 4

Oui. Si l'utilisateur a Firebug, il peut simplement regarder à quoi ressemble le code de l'appliation lorsqu'il est connecté, puis le modifier pour le mettre en miroir lorsqu'il n'est pas connecté. Vous devez gérer l'authentification par requête, et côté serveur . Si vous essayez:

If User logged in: 
    Put Flash in page 
Else: 
    Put angry message 

L'utilisateur peut toujours copier l'extrait de Flash quand ils sont connectés, et le coller quand ils ne sont pas connectés, avec Firebug, etc.

Cependant, si vous utiliser:

Put Flash in page 
Listen for requests from the Flash app to the server (for database content): 
    If the User who requests content is logged in: 
     Return content 
    Else: 
     Return angry message 

Cela fonctionnera.Si l'application entière est basée sur Flash (c'est-à-dire qu'elle n'a pas besoin d'accès à la base de données), la seule façon de la sécuriser sera de protéger les dossiers au niveau du serveur (voir Amember, et al). Même si vous faites en sorte que l'application Flash s'appuie sur un dongle avec le serveur à des fins d'authentification, l'utilisateur peut simplement télécharger vos scripts Flash, les décompiler et les distribuer gratuitement. Ils peuvent toujours le faire avec la protection de dossier, mais au moins les utilisateurs libres n'auront pas cet accès. Votre meilleur pari est de faire dépendre l'application du contenu provenant de votre serveur.

Answer 5

Oui, ce qui maintient un attaquant d'écrire une page html statique qui fait cela:

var flashvars = {a: "AUTHENTICATED"};