[分享] 严重漏洞警告－点击欺骗Clickjacking(Adobe Flashplayer 10.0正式发布)

Adobe, Clickjacking, Flashplayer, 漏洞, 警告, Adobe, Clickjacking, Flashplayer, 漏洞, 警告

Adobe公司已经于10月9日公布了应对此漏洞的暂时解决方法。
   请立即下载：金山漏洞专补工具_Clickjacking漏洞修复
   同时用户可以到Adobe官方网站下载最新版本：
   安装步骤：
         安装之前首先必须从系统将已经安装的adobe flashplayer全部删除，删除方法如下：
         1、下载卸载程序，地址：http://download.macromedia.com/pub/labs/flashplayer10/flashplayer10_uninstall_091508.exe
         2、打开命令提示符（快捷键win+R，路径：开始|运行），执行cmd；
         3、使用命令行语句定位到卸载程序所在的地址；
         4、执行命令：flashplayer10_uninstall_091508.exe/clean

   Adobe Flash Player 10.0正式发布，请安装
   http://www.adobe.com/shockwave/download/download.cgi?P1_Prod_Version=ShockwaveFlash

   金山清理专家将密切关注各相关厂商的动向，第一时间提供此漏洞的修复方案。敬请期待。

－－－－华丽丽的分隔线－－－－
一、Clickjacking相关资料

1、影响范围：所有主流的桌面平台，包括IE、Firefox、Safari、Opera以及Adobe Flash。

2、攻击原理：

时至9月底，今年继GDI＋图片漏洞之后，又一影响更为深远的攻击漏洞Clickjacking被揭露。通过此漏洞，攻击者可以控制用户的浏览器，在用户毫不知情的情况下点击任意链接、任意按钮或者网上任意的东西。

3、相关的情景假设：

（1）当你访问一个恶意网站的时候，攻击者可以控制你的浏览器对一些链接的访问，这个漏洞影响到几乎所有浏览器，除非你使用lynx一类的字符浏览器。这个漏洞与JavaScript无关，即使你关闭浏览器的JavaScript功能也无能为力。事实上这是浏览器工作原理中的一个缺陷，无法通过简单的补丁解决。一个恶意网站能让你在毫不知情的情况下点击任意链接，任意按纽或网站上任意东西。

（2）比如在Ebay,因为可以嵌入JavaScript，虽然攻击并不需要JavaScript，但可以让攻击更容易进行。只用lynx字符浏览器才能保护你自己，同时不要任何动态的东西。该漏洞用到DHTML，使用防frame代码可以保护你不受跨站点攻击，但攻击者仍可以强迫你点击任何链接。你所做的任何点击都被引导到恶意链接上，所以，那些Flash游戏将首当其冲。

二、黑客藉此漏洞的攻击原型

   黑客通过flash小游戏来控制用户的摄像头和麦克风（点击以下链接中的播放按钮即可观看，此链接中的视频完全无害）

   http://www.cnbeta.com/articles/66606.htm
简要说明一下此攻击原型：

1、小D在网上看到一个很好玩的flash小游戏，于是兴趣盎然地开始玩；

2、表面上，小D是在玩游戏，不停地执行点击操作，实际上在这个游戏的下方有一个隐蔽的含有恶意攻击代码的层，小D所有的点击操作都被引导到对这段恶意代码的执行。

3、通过执行那段恶意代码，小D的摄像头和麦克风就没不知情的情况下被黑客接管了。小D的隐私被暴露了

三、Adobe对于Clickjacking漏洞首度作出回应

      虽然此漏洞在更早前的时候就已经被发现，并且预计要在OWASPNYCAppSec2008大会上公布，但是由于此漏洞的影响很大，相关厂商请求暂时不要公开此漏洞，直到他们开发出相应的安全补丁。

   10月9日，Adobe首度对于Clickjacking漏洞作出回应，在其安全公告栏上第一次提及此事，表示Clickjacking漏洞影响到AdobeFlash9.0.124.0之前的所有版本。同时他们发布了暂时的解决方案。

四、其它相关链接

   1、金山官方博客：http://blog.duba.net/read.php?18
   2、Adobe网站的官方公告：http://www.adobe.com/support/security/advisories/apsa08-08.html

      3、Cnbeta上有关文章:http://www.cnbeta.com/articles/65733.htm

   4、clickjacking的攻击原理细节（非官方）：http://hi.baidu.com/aullik5/blog ... ac0ca7cd1166d9.html

[ 本帖最后由 skylin001 于 2008-10-16 07:26 编辑 ]

[分享] 严重漏洞警告－点击欺骗Clickjacking(Adobe Flashplayer 10.0正式发布)

严重漏洞警告－Clickjacing

回复 14楼 的帖子

回复 14楼的帖子