OWASP テスティングガイド

OWASP Testing Guide v3.0
Flash の 中 に HTML イヱザェキサュヱが 存 在 したり、loadMovie*ミセッドが 使 用 されていて 外 部邪 の SWF ファイラが 使 わわれてい
る 場 合 に、XSF が 利 用 されます。
攻 撃 と Flash Player のバージュンヱ
2007 年 5 月 より、Adobe から 3 つの 新 しいバーザュヱの Flash Player がヨヨーシされました。 新 しいバーザュヱのいずれにお
いても、これまでに 説 明 した 攻 撃 のいくつかには 制 限 が 掛 かっています。
| 攻 撃 | asfunction | ExternalInterface | GetURL | Html イヱザェキサュヱ |
| Player バーザュヱ|
| v9.0 r47/48 | 可 能 | 可 能 | 可 能 | 可 能 |
| v9.0 r115 | 不 可 | 可 能 | 可 能 | 可 能 |
| v9.0 r124 | 不 可 | 可 能 | 可 能 | 一 部邪 |
予 想 される 結 果 :
キルシコイトシキヨプティヱギとキルシコイトフョッサヱギは、SWF ファイラの 不 具 合 によって 起 こります。
関 連 資 料
ホワロアテペーパー
• Testing Flash Applications: A new attack vector for XSS and XSFlashing:
http://www.owasp.org/images/8/8c/OWASPAppSec2007Milan_TestingFlashApplications.ppt
• Finding Vulnerabilities in Flash Applications: http://www.owasp.org/images/d/d8/OWASP-
WASCAppSec2007SanJose_FindingVulnsinFlashApps.ppt
• Adobe Security: http://www.adobe.com/devnet/flashplayer/articles/flash_player9_security_update.html
• Securing SWF Applications: http://www.adobe.com/devnet/flashplayer/articles/secure_swf_apps.html
• The Flash Player Development Center Security Section: http://www.adobe.com/devnet/flashplayer/security.html
• The Flash Player 9.0 Security Whitepaper: http://www.adobe.com/devnet/flashplayer/articles/flash_player_9_security.pdf
ヂール
• SWFIntruder: https://www.owasp.org/index.php/Category:SWFIntruder
• Decompiler – Flare: http://www.nowrap.de/flare.html
• Compiler – MTASC:
• Disassembler – Flasm:
• Swfmill – Convert Swf to XML and vice versa:
• Debugger Version of Flash Plugin/Player: