Non lo so. Non sono Michael Zalewski, e posso solo speculare sulla base di questo consiglio. Ha detto qualcosa di più nel libro?
Il file crossdomain.xml contiene la politica che Flash utilizza per determinare in che modo altri siti possono interagire con questo sito. Se contiene una politica permissiva, allora possono accadere cose brutte. Pertanto, non vuoi che gli utenti siano in grado di caricare un criterio che imposta una politica permissiva per il tuo sito.
Ci sono tre rischi di cui sono a conoscenza:
-
In questi giorni, per impostazione predefinita, Flash cercherà il file crossdomain.xml nella radice del tuo sito: http://www.example.com/crossdomain.xml . Se un utente ha la possibilità di caricare file nella root del tuo sito e scegliere il suo nome file, l'utente può scegliere il nome file crossdomain.xml e sceglierne il contenuto per specificare un criterio di sicurezza permissivo. Sarebbe male.
-
Credo che una volta, le applet Flash potessero specificare dove cercare crossdomain.xml file di criteri ; in particolare, Flash guarderebbe volentieri in un luogo diverso dalla radice del tuo sito. Supponiamo che tu consenta agli utenti di caricare file di loro scelta, con la loro scelta di nome file, nella directory /uploads . Un utente malintenzionato potrebbe caricare http://www.example.com/uploads/crossdomain.xml . Quindi, l'utente malintenzionato potrebbe ospitare una malvagia applet Flash sul proprio sito e dirgli alla piattaforma Flash che il file delle politiche di www.example.com può essere trovato in http://www.example.com/uploads/crossdomain.xml . Flash si conformerebbe allegramente, portando a conseguenze infelici.
Credo che le versioni moderne di Flash Player non soffrano più di questa vulnerabilità. Guarderanno sempre per prima cosa la directory root, per verificare una crossdomain.xml , e cercheranno solo crossdomain.xml di file altrove se quella alla radice lo consente.
-
C'erano una volta versioni precedenti di Flash Player che presentavano difetti di sicurezza che avrebbero consentito a un utente malintenzionato di imbrogliare il lettore Flash per cercare qualcosa di diverso dalla directory root per il file crossdomain.xml . Quindi siamo nella stessa situazione del rischio precedente. Credo che questa vulnerabilità sia stata risolta molto tempo fa.
Non so se questi ultimi due rischi siano più rilevanti. Penso che siano stati risolti molto tempo fa. Tuttavia, suppongo sia possibile che alcuni dei tuoi utenti utilizzino vecchie versioni di Flash Player che hanno ancora questo problema.
Dato ciò che hai detto sull'hosting di tutti i contenuti utente su un dominio separato, per quanto ne so, il tuo sito dovrebbe essere sicuro, anche se non intraprendi ulteriori azioni. Tuttavia, forse Michael Zalewski sa qualcosa che non so. (OK, sono sicuro che ne sa molto che non so, voglio dire, forse conosce un quarto rischio / attacco di cui non sono a conoscenza.)