寻找解释安全风险的资源

Question

我有一个开发人员,它让用户能够下载一个zip存档,其中包含一个引用相对javascript文件和flash文档的html文档.flash文档接受一个嵌入在html文档中的url作为其中一个参数.我相信此存档旨在用作将广告转移给使用该来源在其网站上展示广告的用户的方式,但最终用户似乎希望在本地查看该广告.

当打开html文档时,将显示flash文档,当用户单击flash文档时,它会重定向到此嵌入式URL.但是,如果在桌面上提取存档并在浏览器中打开html文档并单击flash对象,则不会发生任何可观察的情况,它们将不会重定向到外部URL.

我认为这是一个安全风险,因为一个人正在从本地计算机区域转移到外部区域.

我正在尝试确定以最简单的方式向最终用户解释此安全风险的最佳方法.他们只是认为它没有被打破时"破碎",它们受到保护,不受已知漏洞的影响.

开发人员试图解释如何将文件复制到本地iis实例,我非常怀疑它是否在用户计算机上运行,​​我不认为这是一个可行的解释.

Answer 1

我不认为这是一个问题。能够朝相反的方向，即执行来自远程区域的脚本到本地区域，称为“跨区域脚本”。事实上最近针对IE的0day使用跨区域脚本来获取远程代码执行。

如果您查看Adob​​e Air 的限制， 您会发现在访问远程资源时，其限制比同源策略的限制要少。我想不出这对于攻击者来说是有价值的场景。特别是与其他本地运行的代码（例如用 C++ 编写的可执行文件）进行比较时。