Kaikki parametrit voi ilmeisesti välittää flashille myös query stringissä. Tämä tuli pienenä yllätyksenä ja nyt tarvitsee sitten tehdä ilmeisesti tarkistuksia ActionScriptin sisään, että onko arvot lähellekään sallittuja, jos joku kutsuukin mun flashiä omilta sivuiltaan.
[code]
var so = new SWFObject("/oma.swf", "oma.swf", "756", "255", "8","#FFFFFF", false);
so.addVariable("targetUrl", "http://www.omatsivut.com/linkit.html");
[/code]
voi siis aina esittää myös muodossa
omatsivut.com/oma.swf?targetUrl=javascript:alert(document.cookie)
ja joku voi yrittää kikkailla ties mitä session varastamisia.
Pitääkö ActionScriptiin koodata tarkistuksia että onko annettu arvo sallittu esim. regexpin avulla vai voiko ActionScriptissä sanoa, että älä koskaan ota parametreja query stringistä?
Oman domainin vois kovakoodata tietty scriptin sisään ja käyttää parametreissa suhteellista osoitetta. Sitten vois regexpillä tarkistaa alkaako arvo esim "javascript", mutta oishan se helpompaa jos sen vaaan sais kiellettyä.
[code]
var so = new SWFObject("/oma.swf", "oma.swf", "756", "255", "8","#FFFFFF", false);
so.addVariable("targetUrl", "http://www.omatsivut.com/linkit.html");
[/code]
voi siis aina esittää myös muodossa
omatsivut.com/oma.swf?targetUrl=javascript:alert(document.cookie)
ja joku voi yrittää kikkailla ties mitä session varastamisia.
Pitääkö ActionScriptiin koodata tarkistuksia että onko annettu arvo sallittu esim. regexpin avulla vai voiko ActionScriptissä sanoa, että älä koskaan ota parametreja query stringistä?
Oman domainin vois kovakoodata tietty scriptin sisään ja käyttää parametreissa suhteellista osoitetta. Sitten vois regexpillä tarkistaa alkaako arvo esim "javascript", mutta oishan se helpompaa jos sen vaaan sais kiellettyä.
Vastaukset
Vanhimmat
Ei vielä vastauksia
Aloittaja odottaa vastauksia. Kerro oma näkemyksesi ensimmäisenä.