Flash 攻击者如何绕过crossdomain.xml

我不确定我是否正确理解

crossdomain.xml

的用法。我正在使用Uploadify（2.1.4）——一个基于flash的文件上传程序。我需要将文件从

域a

上载到

域B

。Uploadify由

域A

托管和提供服务。要允许Uploadify flash插件通信并上传到

域B

，我必须在

域B

上托管一个

crossdomain.xml

文件。因此，如果Uploadify在其白名单中的

域a

上发现一个

crossdomain.xml

文件，那么将处理上传到

域B

的文件。到目前为止，一切听起来都不错

但是，我无法理解是什么阻止了攻击者在其计算机上的本地网站安装上构建克隆上载程序，并随后修改

etc/hosts

，使本地安装使用

域a

作为域名。现在，攻击者可以将文件上传到

域B

，假装是

域A

，

域B

会坦率地接受上传，因为它在

跨域.xml

的白名单中列出了

域A

---

如果可以像上面那样轻松绕过

crossdomain.xml

，它的目的是什么？我对这一点的理解可能是完全错误的。深入了解会很有帮助。

crossdomain.xml

无法取代登录系统。它只是告诉Flash：“嘿，你可以从我的服务器读取（并使用）数据。”

crossdomain.xml确实很容易绕过，因此不能将其视为网站的适当安全功能

---

所以，总而言之，如果您想安全，只需在“域B”上实现登录功能。

Ah！现在我明白了。但请你详细说明一下为什么这个系统在极易被击败的情况下被建立起来。一定有什么东西是它首先被实施的。