Hạn chế hiển thị tệp SWF

Question

Tôi có một tình huống trong đó tệp SWF chính của tôi tải nhiều tệp SWF bên ngoài. Tuy nhiên, những tệp SWF bên ngoài đó chỉ nằm trong thư mục công cộng của máy chủ web.

Có thể hạn chế khả năng hiển thị SWF chỉ với tệp SWF chính của tôi (tệp tải SWF bên ngoài). Trong trạng thái hiện tại, bất kỳ người dùng nào biết nơi cần tìm chỉ có thể nhập vào URL và truy cập vào SWF, chưa kể các bot giả mạo không tuân theo robots.txt.

Lý do cho việc này rất đơn giản. Người dùng sử dụng tên người dùng/mật khẩu để đăng nhập vào ứng dụng Flash chính và ứng dụng Flash chính lần lượt tải các tệp SWF và CHỈ sau đó chúng có sẵn cho người dùng. Ngoài ra, tùy thuộc vào người dùng đã đăng nhập, một số tệp SWF bị hạn chế và không được tải.

Cảm ơn bạn đã trợ giúp!

Answer 1

Phụ thuộc vào cách flash đang xác thực. Flash cần xác thực bằng ứng dụng phía máy chủ với cơ sở dữ liệu. Ứng dụng phía máy chủ sau đó có thể sử dụng cơ sở dữ liệu để thực hiện kiểm soát truy cập trên cơ sở từng tệp.

Tất cả files phải được theo dõi bởi một bảng, chứa các cột như địa phương path vào tệp cũng như user_group hoặc có thể là user_id. Phiên được xác thực sẽ theo dõi user_id sau khi họ đăng nhập bằng tên người dùng và mật khẩu.

Người nhện tấn công thường sử dụng robots.txt, nếu bạn đặt các đường dẫn tệp này vào tệp robots.txt, bạn nên tắt chúng lên và đưa chúng cho kẻ tấn công.

Rất dễ dàng để dịch ngược các ứng dụng flash và sửa đổi chúng. Không dựa vào các hệ thống bảo mật "phía máy khách", chúng rất dễ bỏ qua. Kẻ tấn công cũng có thể phát lại và sửa đổi các yêu cầu HTTP bằng cách sử dụng tamperdata.Bạn cần một máy chủ để cho khách hàng biết những tệp nào họ có thể truy cập.

Answer 2

Tùy thuộc vào cách an toàn bạn muốn trở thành, tôi có thể nghĩ ra một vài lựa chọn:

1. Một server-side script để kiểm soát giao phụ file SWF của bạn (như Pekka đã gợi ý ở trên).

2. Nếu muốn làm tất cả client-side, bạn có thể đặt một bài kiểm tra điều kiện trong mỗi tiểu swf, vì vậy họ sẽ chỉ chơi từ bên swf chính của bạn:

Something như if(this.parent.toString() != "mainSwf") { stop();} (trong giả).

Cấp, điều này là không dễ dàng, vì ai đó có thể dễ dàng làm cho cha mẹ của họ có tên "mainSwf", nhưng nó sẽ ngăn chặn duyệt bình thường của phụ của bạn swfs. Ít nhất cho đến khi ai đó giải mã chúng ...

Bạn có thể làm mọi thứ khó hơn bằng cách đặt thuộc tính trong swf chính, chẳng hạn như var myKey:String="362574036704ry3f0y3432607", sau đó sử dụng điều kiện của bạn để kiểm tra: if(this.parent.myKey != "362574036704ry3f0y3432607") { stop();}.

Mặc dù không an toàn lắm. Hi vọng điêu nay co ich.

---

EDIT:

Ngoài ra còn có một câu hỏi tương tự here, mà có thể có câu trả lời hữu ích.