安全域、crossdomain.xml,到处都有各种各种零碎的基础解释,所以这里不再复述这些概念。 本文目的是整理一下各种跨域加载的情况。什么时候会加载crossdomain,什么时候不加载。 1、Loader加载图片或者swf,只要不是加载到同个安全域,都不需要拉取crossdomain.xml。获取在LoaderContext指定true,必须拉取。 但如果后续,要读取图片或者swf里边内容,例如设置图片smoothing或者draw,都需要拉取这个文件 如果文件不存在,会抛出安全
在之前有做了一篇文章:java开发_模仿百度文库_OpenOffice2PDF_源码下载
我们都知道swf文件(ShockwaveFlash的简称,读作swiff)在前几年是非常火的,由于他是基于矢量绘图的flash动画文件,他的图像效果,交互效果等都非常出色,而且文件本身还很小巧,尤其适合在网页端进行显示,以至于很多的演示视频,甚至小游戏都是用swf文件来保存的。不过近几年随着Html5的发展,他在移动端的优点渐渐消失,甚至很多浏览器也开始不支持flash插件。而且如果在电脑上运行还得额外安装flash player,很是麻烦。比如很多情况下,我们还是需要在网页中播放swf文件进行演示,或者将这个swf文件放到另外一台电脑中播放,这样我们还得搞定用户浏览器是否支持flash插件或者另外一台电脑是否安装了flash player。因此最方便的做法就是提前把swf文件转化为mp4视频文件进行播放,甚至是直接制作成动态图片的效果。
前言 这里主要是讲如何快速扫描到有问题的flash文件,用于批量,有时候很笨的方法也会有奇效,下面记录一下在实现过程中的一些思路和遇到的一些坑。 第三方插件 通过自己为数不多的网站渗透的经验,发现了两
在iText 制作PDF这篇博文中只是简单的介绍了如何制作PDF,为了能让PDF在Web页面中显示,我还需要通过SWFTools工具将PDF文件转换为SWF文件,然后通过SWF文件显示在Web网页中,本次主要是实践SWFTools工具的简单使用,可以在http://www.swftools.org/download.html网页中下载工具,并安装。但是要注意下载的版本,我是在Win7系统下开发的,所以安装的工具就是如下图所示
0x00 前言 小白一枚前段时间遇到的,然后在网上查了资料询问了别人,做个简单的小总结。 0x01 XSF概念 XSF即Cross Site Flash,就是使用ActionScript加载第三方的Flash文件时,攻击者能控制这个第三方的Flash文件这样就有可能造成XSF攻击,以下函数如果使用不当就很容易产生XSF问题。在一些网站发帖或者评论的地方可加载FLASH文件的地方(不止flash文件),由于输入输出过滤不严格,而产生的跨站攻击。 0x02 Payload aaaa<object
版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/hotqin888/article/details/78690716
以前看到prettyloaded上面的loading条都很不错,最近又有需要用到loading条,怎奈它并不提供直接打包下载,只好自己写程序去抓取了…
在as3的开发中,经常会加载外部共用资源,比如某一个公用的图片或者其它小特效。这时候为了避免重复请求,一般会将这些资源放在一个fla文件中,为每一个资源添加链接。这里以一张图片为例(flower.fla):
0x01 HTML中嵌入FLASH 在HTML中嵌入FLASH的时候在IE和非IE浏览器下嵌入的方式有所不同,可以使用embed标签和object标签,使用如下的代码进行嵌入: IE下嵌入 <object codeBase="http://fpdownload.macromedia.com/get/Flashplayer/current/swFlash.cab#version=8,0,0,0" classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000"> <pa
腾讯御见威胁情报中心近日监控到一例使用Adobe Flash 0day漏洞(CVE-2018-5002)的APT攻击,攻击者疑通过即时聊天工具和邮箱等把恶意Excel文档发送给目标人员,诱骗目标人员打开文档。实际上,该恶意Excel文档经过特别构造,被嵌入了flash对象,用户一旦打开文档电脑就会中毒。
在媒体库中无法直接上传swf文件,会报出 “抱歉,出于安全的考虑,不支持此文件类型” 的提醒,解决方法:在根目录文件中wp-includes文件夹下的functions.php中 搜索
(3)通过StyleManager.loadStyleDeclarations()方法来进行导入
受人之托,想从某网站上“弄到”其上的直播视频流,并加以利用,虽然最终失败了,但其中的破解经过还是值得和大家分享,希望对你有启发。
Slideshare.net上有很多不错的Slide都没有提供下载链接,平常倒也无所谓,都是收藏后直接在线观看的。
因为老师的手气过于优秀,每次抽学号时总可能会抽到我,于是就有了逆向学校的学号抽取器的想法
攻击在持续,攻击的技术在演进。防御者需要持续的跟进研究和投入。最近Flash 0day频繁出现,将我们更多的目光集中到flash上。 Flash作为脚本语言,可以编译,不少的恶意flash文件通过各种加密、混淆、动态解密来对抗人工分析和引擎检测。通过动态执行,常见的动态解密的swf都可以解决。 不过遇到很多条件判断、环境依赖的限制,往往又无法稳定dump出解密的swf文件和关键的数据(shellcode)。如果能在静态的方法对混淆、加密的swf文件直接进行反混淆、反编译,则将能有效提升检测效果。 市面上
#! /usr/bin/env python #coding=utf-8 import sys,os ##参数处理for windows,和操作系统交互 import re ##正则表达式处理工具 import struct ##二进制数据操作 def extract_swf(filename, buf, offset): try: length = struct.unpack_from('<L', buf, offset+4)[0] swfname = f
漏洞知识库 网络安全/渗透测试/代码审计/ 关注 ExternalInterface.call第二个参数 讲完ExternalInterface.call的第一个参数,我们接着来讲第“2”个参数,之所以2打上引号,因为 call 函数的原型是:call(functionName:String, ... arguments):*, 即后面可以有很多很多个参数,我们统称为第2个参数。有时候我们会遇到ExternalInterface.call("xxxxx","可控内容");的情况,那么这种情况下,如何构造XS
flashmingo是FireEye最新发布的一个用于自动分析SWF文件的框架。它可以自动对可疑的Flash文件进行分类,并进一步的指导分析过程。Flashmingo可作为独立的工具,也可以作为库的一部分集成到分析工作流中。
一般为了达到资源或是组件的共用,会用到flex library。在flex library可以添加swf、图片资源或的引用。
近期学《流体力学泵与风机》,发现swf文件在OFFICE2016-PPT课件中不能正常播放,想不安装FlashPlayer插件便能够在线查看。于是提取了PPT中的swf文件,使用swf2js库(https://github.com/ienaga/swf2js)解析为canvas绘图并播放。示意代码如下:
OC 中的BOOL 实际上是一种对带符号的字符类型(signed char)的类型定义(typedef),它使用8位的存储空间。通过#define指令把YES定义为1,NO定义为0。
http://iamin.blogdriver.com/iamin/1173623.html
如果这个Flash能直接自己运行,例如Air或者简单不依赖于外部网页的flash,当然非常容易调试。直接F11嘛~~~ 但是,如果这个Flash要依赖于外部环境才能运行,那该怎么调试呢? 核心办法: 1、设置默认的浏览器为CMD(或者一些肯定无法运行Html的程序) 这里有一个细节要注意: image.png 例如Test2是运行html,那么指向cmd来调试的话,builder就会卡在等待调试连接状态中。但如果是运行swf,那么指向cmd的话,是无效的,因为cmd会自动启动flash player来
现在 Google 也推出了 Swiffy,免费把 SWF 格式转换为 HTML5 代码。
先打个广告: .Net交流群:252713569 本人QQ :524808775 欢迎技术探讨, 近期公司要求上传的PPT和Word都需要可以在线预览.. 小弟我是从来没有接触过这一块的东西 感觉很棘
外部调用swf on (release) { loadMovieNum(“service.swf”, 1); } 外部调用数据 loadVariablesNum(“about.txt”, 0); System.useCodepage = true;//中文 音乐加入 mySound = new Sound(); mySound.attachSound(“1”); mySound.start(); 关闭指定音乐 mySound.stop(“1”); 外部调用音乐 mySound=new Sound(); mySound.loadSound(“music.mp3”,true); mySound.start(0,100) 关闭音乐 mySound.stop(); 链接场景: on (release) { gotoAndStop(“猫的历史”,1); } 清空文本框 _root.text=”” On(Release) Set Variable:”input” = “” Set Variable:”output” = “” End On
遇到很奇怪的问题,as3中监听资源下载的PROGRESS事件(ProgressEvent.PROGRESS),它的bytesLoaded属性倒是正常的,但bytesTotal属性却始终为0,结果是导致了得到的下载比率为无穷大(Infinity)
众测备忘手册 From ChaMd5安全团队核心成员 MoonFish 前言 最近一直在看bugbountyforum对赏金猎人采访的文章以及一些分享姿势的PPT,所以结合bugbounty-cheatsheet项目对他们使用的工具,方法和思路进行整理。这里只是一个列表,并不是很详细,常见的姿势也不会被写上,还需要慢慢填充。 众测平台 HackerOne, Bugcrowd, BountyFactory,Intigriti,Bugbountyjp,Synack,Zerocopter,Cobalt,Yogos
使用过ckplayer的同学都知道,相对jwplayer等,它非常的容易配置和使用。功能也是基本满足我们的需求的。 一般情况我们都使用普通的视频格式比如mp4,flv等播放,但如果视频文件过大,会加载较慢。 于是我们可以将视频转成m3u8格式来解决这个问题(可以百度m3u8来了解原理,简单点说他就是把视频切成若干个切片,每个切片都可以独立播放而且大小很小,然后利用一个文件索引来依次播放这些文件,所以很快) 如何转m3u8格式?可以参考我上一篇博文。 ======================= 但是PC上
关于Flash(swf),我们需要明确一点: ***Flash字节码的意义都是公开的 所以如果cracker真的有足够的耐心他最终还是可以破解掉你的Flash。我们能做的只是尽量提高Flash被破解的门槛让cracker破解它需要消耗的时间大于自己更新版本的间隔就好了。 一般而言,对于游戏,无非是为了防止cracker修改游戏数据,制作外挂,当然也有人为了破解游戏,提取素材,提取音频,提取音乐等等。 现在Flash页游已经走下坡了,没多少人关注了,而且这种加密方案也比较成熟了。但是,正因为Flash小游戏很
想要实现word或者其他office文件的在线预览,大部分都是用的两种方式,一种是使用openoffice转换之后再通过其他插件预览,还有一种方式就是通过POI读取内容然后预览。 一、使用openoffice方式实现word预览 主要思路是: 1.通过第三方工具openoffice,将word、excel、ppt、txt等文件转换为pdf文件 2.通过swfTools将pdf文件转换成swf格式的文件 3.通过FlexPaper文档组件在页面上进行展示 我使用的工具版本: openof:3.4.1 swfT
最近的项目涉及到flash通过socket和服务器连接,刚接触这方面的内容,遇到了flash通信时安全策略的问题,这里记录下,有遇到相同问题的同学可以参考下。
以前做渗透测试,遇到过很多次POST数据为JSON数据的CSRF,一直没有搞定,最近发现一个新姿势,给大家分享一下。 测试的时候,当应用程序验证了Content-type和data format,这种新姿势依然可以可以使用flash和307重定向来实现JSON CSRF。 要求: 1 制作一个Flash文件 2 制作一个跨域XML文件 3 制作一个具有307状态码的PHP文件 制作FLASH文件: 这个flash(.swf)文件有我们需要POST的json格式的数据,攻击者必须在目标应用程序上发布,并链接到
1. 首先,第一步,我们需要找到存在缺陷的FLASH文件。如何找到这类文件呢?最好的办法,当然是GOOGLE搜索。但是其实很多人是不太会用搜索引擎。或者知道怎么用,但是不知道该如何搜索关键词。因而教程的开始,我们来说一说,如何搜索关键词。 2. 基本语句肯定是 site:qq.com filetype:swf 意思是,限定域名为qq.com 文件类型为FLASH文件。 3. 显然这样会搜索出很多FLASH文件,不利于我们后续的漏洞查找,所以我们需要输入某个关键词来进一步缩小范围。这里我列举一些寻找关键词的方式。 3.1 已知存在缺陷的FLASH文件名或参数名,如:swfupload,jwplayer等 3.2 多媒体功能的FLASH文件名,如:upload,player, music, video等 3.3 调用的外部配置或数据文件后缀,如: xml, php 等 3.4 前期经验积累下来的程序员特征参数名用词,如: callback, cb , function 等 4. 结合以上经验,本例使用其中第三条: 我们搜索:site:qq.com filetype:swf inurl:xml 可以找到这个FLASH
https://helpx.adobe.com/security/products/flash-player/apsa18-01.html
接触JavaScript和ActionScript3也有近5年的时间了,它们都是应用比较广泛的脚本语言,经过这几年的工作和学习,静下来的时候想总结一些东西,作为技术上的沉淀以及培训所用,所以就有了这篇文章。先来看看二者的同性与差异性:
纵观jBPM:从jBPM3到jBPM5以及Activiti5:http://www.infoq.com/cn/articles/rh-jbpm5-activiti5#
1. 引言 最近沸沸扬扬的黑色绿洲(BlackOasis) APT 利用了Adobe Flash 的漏洞CVE-2017-11292。最近,我们发现除了黑色绿洲 APT 外,还有另外一个APT 攻击也
Flex开发中使用Ant编译.mxml成.swf后,在.swf里使用Session的解决方法
介绍 今天给大家推荐的这个代码库将允许原生Linux程序从一个WindowsDLL文件中加载或调用功能函数。下面是一个简单的演示示例,我将Windows Defender“移植”到了Linux平台。 $ ./mpclient eicar.com main(): Scanning eicar.com... EngineScanCallback(): Scanning input EngineScanCallback(): Threat Virus:DOS/EICAR_Test_Fileidentified
查看源码还是黑名单没有对后缀名进行去.操作利用 Windows 特性会自动去掉后缀名中最后的.可在后缀名中加 . 绕过
最近鼓捣除了一个加载器。可以分布式地加载文本文件以及SWF文件。本人将它写成了一个Flex库。本着共同进步的目的,我将其分享出来。
大家好,又见面了,我是你们的朋友全栈君。→前端的主程序架构和模块划分与人手和人事分工是紧密联系在一起的,而这些很大程度上又是由项目本身决定的。纵观现在国内绝大多数FLASH WEB GAME的规模和难度,我觉得前端AS人员大概需要2-7个之间,主程序有效代码一般不会超过10W行。在这种情况下,人事分工应当以功能和模块进行划 分,尽量避免多人维护同一份代码,每个人各司其职,减少维护和协作的成本。这种模式非常适合人手不够,制度不健全,而且追求效率的初创公司。
链接:https://pan.baidu.com/s/1lMRBVdQyFuKOgNlWPUoSSQ
当不想提交某一类型的文件到服务器的时候,可以使用.gitignore文件来进行配置,编辑.gitignore文件来进行配置即可,例如我不想提交所有的.swf文件,这时就可以在.gitignore文件里面写入如下内容
然后在一个博客。这里有一个flash嵌入式播放器。这是公司内部使用的flash播放机,支持格更多款式,同时支持swf格视频播放的类型。
领取专属 10元无门槛券
手把手带您无忧上云