问：域名：artmate.cn 漏洞数量：1个-风险级别：高受影响URL：http://www.artmate.cn:80/wp-includes/js/swfupload/swfupload.swf?debugEnabled=true&movieName=\”])}catch(e){if(!window.x){alert(1);window.x=1}}try{([\”
漏洞事件：Swfupload.swf跨站脚本攻击漏洞
漏洞概要：Web站点中所包含的脚本直接将用户在HTML页面中的输入（通常是参数值）返回，而不预先加以清理。 如果脚本在响应页面中返回由JavaScript代码组成的输入，浏览器便可以执行此输入。 因此，有可能形成指向站点的若干链接，且其中一个参数包含恶意的JavaScript代码。 该代码将在站点上下文中（由用户浏览器）执行，这使得该代码有权访问用户在该站点中具有访问权的cookie，以及站点中其他可通过用户浏览器访问的窗口。攻击依照下列方式继续进行：攻击者诱惑合法用户单击攻击者生成的链接。用户单击该链接时，便会生成对于Web站点的请求，其中的参数值含有恶意的JavaScript代码。 如果Web站点将这个参数值嵌入在响应的HTML页面中（这正是站点问题的本质所在），恶意代码便会在用户浏览器中运行。
漏洞详情：目标存在Swfupload.swf跨站脚本攻击漏洞。跨站脚本攻击漏洞，英文名称Cross Site Scripting，简称CSS又叫XSS。Web站点中的脚本不预先加以清理直接将用户输入（通常是参数值）返回， 当在响应页面中返回用户输入的JavaScript代码时，浏览器便会执行该代码。攻击者往往利用该原理向网页中插入恶意代码，并生成恶意链接诱使用户点击。当用户点击该连接时，便会生成对Web站点的请求，其中的参数值含有恶意的JavaScript代码。 如果Web站点将这个参数值嵌入在响应的HTML页面中（这正是站点问题的本质所在），恶意代码便会在用户浏览器中运行，达到攻击者的目的。
解决建议：截止目前，官方（http://www.swfupload.org/）没有针对此漏洞的修复补丁。请考虑更换其他上传flash应用。
答：您好，请参考以下方法处理：
修改根目录crossdomain.xml,将domain中的域名更换成自己的域名,多个域名可以写多行 <?xml version=\”1.0\”?> <cross-domain-policy> <allow-access-from domain=\”*.test1.com\” /> <allow-access-from domain=\”*.test2.com\” /> </cross-domain-policy>非常感谢您长期对我司的支持!
