• 2008年10月13日

    小心你的摄像头Flash Player Clickjacking漏洞防范解决 - [安全资讯]

    Flash Player被Clickjacking漏洞利用的问题

    发布日期：2008年10月7日

    　　漏洞标示符：APSA08-08

    　　平台：所有平台

    　　受影响的软件版本：AdobeFlashPlayer9.0.124.0及更老的版本

    　　摘要

    　　Adobe注意到，最近发布的Clickjacking漏洞，使得攻击者有可能诱导使用浏览器的用户在其不知情的情况下点击其他的一个链接或对话框，这类潜在的“Clickjacking”问题已经影响到AdobeFlashPlayer的正常工作。Adobe正努力在即将更新的FlashPlayer中解决这一问题。

    　　解决方案

    　　客户：

    　　用户可按如下方式修改FlashPlayer的设置，以防止Clickjacking问题：

    　　点击如下链接进入AdobeFlashPlayer设置中的全局隐私设置页面http：//www.adobe.com/support/documentation/en/flashplayer/help/settings_manager02.html

    　　1、选择“始终拒绝”按钮。

    　　2、在结果对话框中选择“确认”。

    　　注意：改变此设置后，用户将不会接收到“允许或拒绝相机和/或麦克风的访问”这一类的提示。用户可通过如下链接选择性的允许某些网站访问相机和/或麦克风：http：//www.adobe.com/support/documentation/en/flashplayer/help/settings_manager06.html

    　　IT管理员：

    　　IT管理员可以在客户机的文件mms.cfg中，将AVHardwareDisable的值从0改为1，以禁用客户机中FlashPlayer的相机和麦克风的互动。想了解更多关于mms.cfg文件和AVHardwareDisable，请参阅AdobeFlashPlayer的管理指南的第57页：http：//www.adobe.com/devnet/flashplayer/articles/flash_player_admin_guide/flash_player_admin_guide.pdf#page=57.

    　　Adobe计划于10月底前发布的FlashPlayer更新中解决这一问题。更多细节将发表的Adobe安全公告网页中，地址为http：//www.adobe.com/support/security.

    　　此外，所有记录的的安全漏洞及其解决方案是通过Adobe的安全通知服务发布的。您可以在以下地址注册以获取服务：http：//www.adobe.com/cfusion/entitlement/index.cfm？e=szalert。

    　　用户也可在Adobe产品安全事件反应小组博客中获取最新信息：http：//blogs.adobe.com/psirt

    　　严重程度等级

    　　Adobe将其归类为关键问题。

    　　致谢

    　　Adobe衷心感谢SecTheory的RobertHansen，WhiteHatSecurity的JeremiahGrossman，DotSpots的EduardoVelaheMatthewMastracci以及LiuDieYu，感谢他们报告此漏洞并与Adobe一起帮助保护我们客户的安全。

    Adobe公布跨浏览器攻击漏洞临时解决方案

    前段时间安全人员透露了一个严重的“clickjacking”跨浏览器攻击漏洞，该漏洞影响很多主流浏览器，包括IE、Firefox、Safari、Opera等，还有AdobeFlashPlayer。

    　　这个被称为“Clickjacking”的安全威胁，原本要在OWASPNYCAppSec2008大会上公布，但厂商请求在开发出安全补丁之前暂时不要公开这个漏洞。近日Adobe在安全公告栏上第一次提及此事，发表了暂时的解决方案。本次漏洞影响FlashPlayer9.0.124.0之前的所有版本，希望各位注意。

    日前，一个非常可怕的跨浏览器攻击漏洞Clickjacking正在逐渐显露在人们面前。通过这个Clickjacking漏洞你会在毫不知情的情况下“帮助”黑客“控制”你计算机上的摄像头和麦克风。

    这个Clickjacking漏洞具有及其良好的跨平台性，能够影响所有主流桌面平台包括IE、Firefox、Safari、Opera 以及 Adobe Flash。

    这个被称为 发现这个Clickjacking漏洞的是Robert Hansen与Jeremiah Grossman两名安全研究专家，从他们已经透露的一点相关信息来看，这个安全危险相当严重。

    考虑到这个漏洞的高度危害性，经Adobe等厂商请求，OWASP NYC AppSec 2008大会将暂不对其进行公布。

    什么是Clickjacking？

    在中文里，Clickjacking可以翻译为“点击劫持”，而国外资料里对其的解释是“UI redress vulnerabilities(界面伪装漏洞 )”。

    据参加OWASP半公开演示的人士介绍，这个漏洞与JavaScript无关，却能影响所有浏览器。

    简单的说Clickjacking是一种攻击，是一种新型的WEB方式攻击。其中所涉及到的“Flash Player漏洞”，其实只是Clickjacking安全漏洞的一种表现形式，黑客可以通过一个简单的Flash游戏控制用户的摄像头或麦克风。

    Clickjacking漏洞原理解析

    在一个已经公布的Clickjacking Demo演示程序中我们不难发现Clickjacking的内涵。

    在你可控制的页面A内有一个iframe，iframe的src链接到另一个域的页面B。设置这个iframe的CSS样式的透明度为0，并设置其CSS样式的z-index比页面A的其他元素的z-index大。这个iframe的Width与Height值都设置为足以保证用户可以点击到其中内容(页面B的内容)的大小。然后在页面A上放置一些按钮、链接等可以欺骗用户点击的元素，这些元素在iframe之下(z-index值决定)，并恰好与 iframe的页面B内的关键元素在同一个位置。于是当用户被欺骗去点击页面A内的这些元素时，实际上点击了页面B内的关键元素，这些元素可以是：删除按钮、添加按钮、单选框、请求链接等等。再加上一些社会工程学技巧，这类攻击方式可以进行得非常巧妙。

    这种Clickjacking漏洞攻击基于DHTML技术，用到了iframe，而且这样的攻击方式不一定需要JavaScript。虽然使用防iframe代码可以保护你不受跨站点攻击，但攻击者仍可以迫使你点击任何其指定的链接。

    类似的欺骗还有——onMouseUpJacking、FormJacking、SubmitJacking——点击劫持。

    如果黑客精心设计Clickjacking攻击页面，那么无论网页访问者进行正常鼠标点击还是无意间的鼠标点击动作，都可能会点击激发背后的隐形身影，而这个隐形身影则可以包括下载木马、打开摄像头等各类恶意行为。

    据Hansen讲，他们已经同微软以及Mozilla谈论过这个问题，然而他们均表示这个问题非常棘手，目前没有简单的解决办法。Grossman更确切表示，微软最新的IE 8和Mozilla最新的Firefox 3均不能幸免。

    那么除非你使用lynx一类的字符浏览器，同时不要任何动态的东西，这样才能保护自己。由于这个漏洞与JavaScript无关，所以即便你关闭浏览器的JavaScript功能也无能为力。事实上这是浏览器工作原理中的一个缺陷，无法通过简单的补丁解决。

    解决方案

    Adobe解决方案

    Adobe对于Flash Player引起的Clickjacking漏洞作出回应，给出了临时解决方案，可以避免被黑客控制你的摄像头或者是麦克风。(Clickjacking漏洞影响AdobeFlash9.0.124.0之前的所有版本。) 

    To prevent this potential issue, customers can change their Flash Player settings as 
follows:
1.Access the Global Privacy Settings panel of the Adobe Flash Player Settings Manager at 
the following URL: 
http://www.adobe.com/support/documentation/en/flashplayer/help/settings_manager02.html 
2.Select the "Always deny" button. 
3.Select ‘Confirm’ in the resulting dialog. 
4.Note that you will no longer be asked to allow or deny camera and / or microphone 
access after changing this setting. 
Customers who wish to allow certain sites access to their camera and / or microphone can 
selectively allow access to certain sites via the Website Privacy Settings panel of the 
Settings Manager at the following URL: 
http://www.adobe.com/support/documentation/en/flashplayer/help/settings_manager06.html.

    用户可以通过改变Flash Player设置来避免Clickjacking漏洞带来的安全威胁：

    1.下面的网址是一个全球个人Adobe Flash Player设置管理模板，在这里可以对不同版本的Flash Player进行针对Clickjacking漏洞的安全设置： 

    http://www.adobe.com/support/documentation/en/flashplayer/help/settings_manager02.html

    2.打开上面的设置模板页面后，页面会判断你的Flash Player版本，并给出设置页面，选择里面的“始终拒绝”按钮。

    3.在弹出的窗口里选择“确定”按钮。

    4.注意：进行这个设置后，就无法允许或者拒绝对摄像机、麦克风的访问。

    如果想允许某个特定站点上的内容访问摄像机或麦克风，请访问下面的网址，进入全球个人Adobe Flash Player设置管理模板： 

    http://www.adobe.com/support/documentation/en/flashplayer/help/settings_manager06.html

    浏览器解决方案

    Firefox 3的NoScript(1.8.2以上版本)插件可以防御Clickjacking漏洞攻击。NosSript也给出了ClearClick保护来防御Clickjacking漏洞可能造成的危害。

    黑客攻击演示视屏

    下面的视频演示了黑客利用Clickjacking漏洞发起攻击的实现过程：

    (部分资料来源：金山毒霸官方博客、Adobe官方网站)

    Clickjacking的一些细节

    昨天晚上Rsnake放出了clickjacking的Detail，今天大致看了下，这种攻击对于Flash来说，危险性是加倍的。想你不经意间的鼠标点击，你的摄像头就被控制了或者你的麦克风就被录音了，这是不是很恐怖？

    的确如此，所以adobe才会发狂。看到里面有个有趣的事情，Firefox由于有一个noscript插件，所以可以屏蔽掉iframe抑或object；但有个问题是ie没有的，就是object的调用在IE中是个叉叉而不ff中的iframe方式。

    譬如此语句：＜object data="http://www.baidu.com" width="200" height="200"＞＜/object＞

    也因此攻击方向分成了两种，一种是对目标网站的用户行为控制，一种是通过flash或相关控件对本地资源的非授权调用。而前一种是需要用户登陆的 (对于会员权限控制型的需要，其他用意的可能甚至不需要)（对于多标签浏览器的用户来说，登陆状态的概率很大），后一种则不需要。

    余弦兄弟昨天也放出demo来，同样是flash的利用，虽然还不够完美，但是你已经可以看到你无意间的留言已经跑到百度空间这里来了，假如干点别的呢？

    因此在一段时间内广大用户还是少点鼠标为好，尤其是陌生的站点，呵呵。个人估计maxthon很快也会放出插件来。

    Clickjacking Details

    Today is the day we can finally start talking about clickjacking. This is just meant to be a quick post that you can use as a reference sheet. It is not a thorough advisory of every site/vendor/plugin that is vulnerable - there are far too many to count. Jeremiah and I got the final word today that it was fine to start talking about this due to the click jacking PoC against Flash that was released today (watch the video for a good demonstration) that essentially spilled the beans regarding several of the findings that were most concerning. Thankfully, Adobe has been working on this since we let them know, so despite the careless disclosure, much of the work to mitigate this on their end is already complete.

    First of all let me start by saying there are multiple variants of clickjacking. Some of it requires cross domain access, some doesn’t. Some overlays entire pages over a page, some uses iframes to get you to click on one spot. Some require JavaScript, some don’t. Some variants use CSRF to pre-load data in forms, some don’t. Clickjacking does not cover any one of these use cases, but rather all of them. That’s why we had to come up with a new term for it - like the term or not. As CSRF didn’t fit the requirements for clickjacking, we had to come up with a new term to avoid confusion. If you like Michael Zalewski’s term “UI redress attack” better use that one, it’s just not CSRF and shouldn’t be mistaken for any other attack, since it really is different. Here is the technical detail:

    Issue #1 STATUS: Unresolved. Clickjacking allows attackers to subvert clicks and send the victim’s clicks to web-pages that allow themselves to be framed with or without JavaScript. One-click submission buttons or links are the most vulnerable. It has been known since at least 2002 and has seen at least three different PoC exploits (Google Desktop MITM attack, Google Gadgets auto-add and click fraud). All major browsers appear to be affected.

    Issue #1a STATUS: Unresolved. JavaScript is not required to initiate the attack as CSS can place invisible iframes over any known target (EG: the only link on the red herring page). Turning off JavaScript also neuters one of the only practical web based defenses against the attack which is the use of frame busting code.

    Issue #2 STATUS: Unresolved. ActiveX controls are potentially susceptible to clickjacking if they don’t use traditional modal dialogs, but rather rely on on-page prompting. This requires no cross domain access, necessarily, which means iframes/frames are not a prerequisite on an attacker controlled page.

    Issue #2a STATUS: To be fixed in Flash 10 release. All prior versions of Flash on Firefox on MacOS are particularly vulnerable to camera and microphone monitoring due to security issues allowing the object to be turned opaque or covered up. This fix relies on all users upgrading, and since Flash users are notoriously slow at upgrading, this exploit is expected to persist. Turning off microphone access in the BIOS and unplugging/removing controls to the camera are an alternative. Here is the information directly from Adobe.

    Issue #2b STATUS: Unresolved. Flash security settings manager is also particularly vulnerable, allowing the attacker to turn off the security of Flash completely. This includes camera/microphone access as well as cross domain access. Resolved using frame busting code, bug #4 below notwithstanding. However, as pointed out elsewhere, it is possible to directly frame the SWF file example here and here.

    Issue #2c STATUS: To be fixed in Flash 10 release. All versions of Flash on IE7.0 and IE8.0 can be overlayed by opaque div tags. Using an onmousedown event handler the object click registers as long as the divs are removed by the onmousdown event handler function. Demo here of stealing access to the microphone.

    Issue #3 STATUS: To be fixed in the final release candidate. Flash on IE8.0 Beta is persistent across domains (think “ghost in the browser”). This would be a much worse vulnerability except for the fact that it is beta and almost no one is using it.

    Issue #4 STATUS: To be fixed in the final release candidate. Framebusting code does not appear to work well on some sites on IE8.0 Beta. Instead it is marked as a popup which is blocked by the browser - disallowing the frame busting code from executing.

    Issue #5 STATUS: Unresolved. State of clicks on other domains can be monitored with JavaScript (works best in Internet Explorer but other browsers are vulnerable too) which is cross domain leakage and can allow for more complex multi-click attacks. For example a page that has a check box and a submit button could be subverted upon two successful clickjacks. Additionally, this can make the attack completely seemless to a user by surrendering control of the mouse back to the user once the attack has completed.

    Issue #6 STATUS: Unresolved. “Unlikely” XSS vulnerabilities that require onmouseover or onmousedown events on other parts of pages on other domains are suddenly more likely. For example if a webpage has a XSS vulnerability where the only successful attacks are things like onmouseover or onmousedown, etc… on unlikely parts of the page, an attacker can promote those exploits by framing them and placing the mouse cursor directly above the target XSS area. Therefore, otherwise typically uninteresting or unlikely XSS exploits can be made more dangerous.

    Issue #7 STATUS: Fixed in current releases post 1.8.1.9. Firefox’s Noscript plugin’s functionality to forbid iframe’s can be subverted by iframing a page that contains a cross domain frame or as Ronald found by using object tags. Giorgio Maone validated the issues and issued patches in future releases of the code as well as other potential clickjacking mitigation. 1.8.1.6, 1.8.1.7, 1.8.1.8, 1.8.1.9, 1.8.2 and 1.8.2.1 all contain anti-clickjacking code. All prior versions to 1.8.1.9 were vulnerable to cross domain clickjacking.

    Issue #8 STATUS: Unresolved. Attempts to protect against CSRF using nonces can often be overcome by clickjacking as long as the URL of the page that contains the link that includes the nonce is known. Eg: Google Gadgets exploit discussed in Blackhat “Xploiting Google Gadgets” speech. The only semi-decent defenses against this are to omit the nonces in JavaScript space and also include the frame busting code in the same JavaScript. This will break for users who do not use JavaScript though, so it is not an ideal solution.

    From an attacker’s perspective the most important thing is that a) they know where to click and b) they know the URL of the page they want you to click, in the case of cross domain access. So if either one of these two requirements aren’t met, the attack falls down. Frame busting code is the best defense if you run web-servers, if it works (and in our tests it doesn’t always work). I should note some people have mentioned security=restricted as a way to break frame busting code, and that is true, although it also fails to send cookies, which might break any significant attacks against most sites that check credentials.

    Thanks to Adobe, Microsoft, Firefox, Apple and the various other vendors and people who have been helpful/supportive and care to fix the issue. Also thanks to the researchers who found these issues independently after Jeremiah and I were unable to do our speech, but kept it to themselves (Arshan Dabirsiaghi, Jerry Hoff, Eduardo Vela, Matthew Matracci, and Liu Die Yu). I will release a whitepaper to the informer via hackers for charity sometime today or tomorrow. I’ll also make that whitepaper available publicly sometime next week and information forthcoming when I have some time to put it up. Source to generic clickjacking code available here. I will keep this post up to date with additional issues and updates as I am aware of them.

    手动解决方案

    当前，最简单的办法是禁用浏览器的脚本和插件功能。
    1、通过如下路径找到mms.cfg文件：C:\WINDOWS\system32\Macromed\Flash；
    2、用记事本打开该文件；
    3、将AVHardwareDisable的值从0改为1，保存退出即可。有些用户系统内无此文件，则可通过金山软件提供的Clickjacking漏洞修复工具自动进行修复

     下载免费专用修复工具 

     

     

    Tag：安全 漏洞 flash
    chapi 发表于18时59分49秒 | 阅读全文 | 评论 0 | 编辑 | 分享

  • 2008年10月04日

    FLASH制作全套软件下载 - [资源下载]

    原文地址：http://www.hxui.com/blog/?action=show&id=1064

    爱好者，还是FLASH专业制作者，我相信，下面的软件肯定有你没发现或没注意到的！
    现在就给大家介绍和FLASH有关的接近所有的制作软件及其下载地址。好了，不废话了。
    一、FLASH常用制作软件；
    FLASH8,FLASH CS3
    软件说明：
    我想大家基本上都用这两个软件吧（这里值得一说的是，如果你在用中文版的时候出现BUG，如无法导入位图，视频，无法发布EXE文件，这就是可能制作FLASH汉化版中存在的BUG了，所以这里建议使用FLASH英文原版，至少不会有这样的问题出现）
    下载地址：
    FLASH8英文版：http://down.chinaz.com/soft/8156.htm
    FLASH8汉化文件：http://ishare.iask.sina.com.cn/cgi-bin/fileid.cgi?fileid=2858126
    FLASH CS3英文版：http://www.downxia.com/downinfo/3255.html
    FLASH CS3汉化文件：http://ishare.iask.sina.com.cn/cgi-bin/fileid.cgi?fileid=2977271

    Flash Slideshow Builder v4.0 汉化版
    软件说明：
    Flash 幻灯/相册制作工具。这是一个专业的 Flash 相册制作工具
    下载地址：
    http://www.crsky.com/soft/6784.html

    二、FLASH 3D制作软件
    Swift 3D v3.00 Build 184
    软件说明：Swift 3D 是专业的矢量 3D 软件
    下载地址：http://www.crsky.com/soft/1035.html

    3DFlashAnimator4
    软件说明：一套理想的Flash动画制作软件，还可以制作出高水准具互动效果的3D Flash动画。
    下载地址：http://ishare.iask.sina.com.cn/cgi-bin/fileid.cgi?fileid=2695702

    三、FLASH制作辅助软件
    KoolMoves v6.12 汉化版
    软件说明：一个动画制作软件，能够制作 Flash 动画以及与动画相关的内容
    下载地址：http://www.crsky.com/soft/3931.html

    SWFText v1.3 特别版
    软件说明：一款Flash文字动画制作工具下载地址：http://down.chinaz.com/soft/13718.htm

    FlaX V4.10
    软件说明：FlaX 是一款制作 Flash 文字特效的工具
    下载地址：http://www.skycn.com/soft/5250.html

    flash水波制作器v2.3绿色汉化版
    软件说明：Sqirlz Water Reflections专门用来给图片做动态美工的软件
    下载地址：http://ishare.iask.sina.com.cn/cgi-bin/fileid.cgi?fileid=2695661

    SWiSHmax v1.0 Build 2006.06.29 特别版
    软件说明：可轻易的在短时间内制作出复杂的文本，图像，图形和声音的效果
    下载地址：http://down.chinaz.com/soft/17532.htm

    A4Desk v5.84（FLASH网站制作）
    软件说明：基于模板的所见即所得的FLASH菜单和FLASH网站创作工具，无需编码即可制作出吸引人的FLASH。
    下载地址：http://down.chinaz.com/soft/7517.htm

    123 Flash Menu v2.6.0.1250 特别版
    软件说明：一款制作Flash菜单的软件，内置数计百计的模板，支持多种浏览器，可所见即所得，并有预览功能
    下载地址：http://down.chinaz.com/soft/18421.htm

    SWF Lock and Load v1.208 汉化版
    软件说明：一款帮助您为常规 Flash 剪辑加入预载器（如：动画显示的“正在加载”等等）的工具
    下载地址：http://www.crsky.com/soft/8044.html

    eFlashMTV V4.6 build 200702101
    软件说明：一款快速制作flash MTV的软件.
    下载地址：http://www.skycn.com/soft/28234.html

    Flash库批量改名器 V1.0
    软件说明：轻松的批量库改名工具
    下载地址：http://www.skycn.com/soft/33183.html

    Adobe After Effects7.0 绿色专业版
    软件说明：Adobe After Effects 7.0 软件可以帮助您高效、精确地创建无数种引人注目的动态图形和震撼人心的视觉效果。
    下载地址：http://www.xdowns.com/soft/10/142/2007/Soft_37091.html

    Adobe Audition 3.0 汉化特别优化版
    软件说明：一个专业音频编辑和混合环境。
    下载地址：http://www.downxia.com/downinfo/3910.html

    particleIllusion 3.01a 幻影粒子特效软件
    软件说明：一套分子效果系统及合成影像工具，
    下载地址：http://www.9941.cn/down/down/?type=detail&id=59

    Adobe Photoshop CS3 10.0.1.0 绿色简体精简版
    软件说明：处理图片的
    下载地址：http://www.xdowns.com/soft/31/93/2007/Soft_39370.html

    四、FLASH加密软件
    SWF Encrypt v4.0.4
    软件说明：为你的Flash SWF文件提供了安全保护
    下载地址：http://www.crsky.com/soft/8046.html

    五、FLASH破解软件
    Sothink SWF Decompiler v3.7.70607
    软件说明：世界上 Flash 电影反编译和元素提取的领军工具
    下载地址：http://www.crsky.com/soft/10242.html

    Sothink SWF Quicker v2.1 build 60405 特别版
    软件说明：一款可以直接将SWF文件导入软件中直接编辑和修改
    下载地址：http://down.chinaz.com/soft/5813.htm

    Flash橡皮擦 V1.0 绿色特别版
    软件说明：一款删除Flash对象的工具软件
    下载地址：http://www.cnjinhua.cn/soft/21294.htm

    Action script Viewer v5.01
    软件说明：一款可以分析 Flash 文件并将其中的动作脚本(action scripts)分解出来
    下载地址：http://www.crsky.com/soft/1666.html

    Flash吸血鬼 2.2
    软件说明：不管别人把Flash做成什么样的EXE，SWF，都可以破解
    下载地址：http://www.onlinedown.net/soft/45784.htm

    六、FLASH转换软件
    SWiSHVideo v2.0 Build 2006.02.12 汉化版
    软件说明：一款将视频文件转换为SWF文件的工具
    下载地址：http://down.chinaz.com/soft/17589.htm

    Audio2SWF v1.003 特别版
    软件说明：可以将您的音乐文件转换为 Flash，导出格式支持 SWF/HTML/FLV/HQX)EXE等
    下载地址：http://down.chinaz.com/soft/17535.htm

    Flash转换王 v8.9 Build 2050
    软件说明：国内首个可以将Flash的SWF动画转换为VCD/SVCD/DVD/AVI/MPEG4等转换工具
    下载地址：http://www.crsky.com/soft/4688.html

    flash changer1.0
    软件说明：一款支持批量将EXE→SWF或SWF→EXE的工具
    下载地址：http://www.cq2e.com/Soft/ShowSoft.asp?SoftID=28

    GIF2SWF v2.5
    软件说明：一个可以把gif文件转换Flash的swf文件的小工具
    下载地址：http://www.9941.cn/down/down/?type=detail&id=37

    iTiny Magic Swf2Gif 1.35 汉化版
    软件说明：Swf2Gif 可以帮助您把 SWF Flash 动画转为 GiF 动画
    下载地址：http://nj.onlinedown.net/soft/52237.htm

    终于总结完了，到发帖截止，以上下载地址都亲自测试可以下载
    如果无法正常下载请到http://share.zcool.com.cn/thread-23712-1-1.html下载

    From：http://www.piantou.net/flashruanjian/20080314/461.html

    Tag：FLASH 制作 软件 下载
    chapi 发表于17时36分52秒 | 阅读全文 | 评论 0 | 编辑 | 分享

  • 2008年08月29日

    个创意独特的互动广告 - [杂七杂八]

    　　相信大家一定记得那个超有创意的献血广告，这种互动广告总是比一般的平面广告更容易打动人，创意继续，在下面这组独特的互动广告中，你要做的就是准备好自己的鼠标，开始行动吧。

    01、这是来自一个国外户外运动装备的广告，穿上它后就好象壁虎一样，可以令你很自如的进行攀登等户外运动。广告的创意形式很有趣，也很直白，凡是经过的鼠标都会被牢牢粘住，动弹不得。



    02、这是个关爱儿童的组织的宣传广告。画面上受伤的小女孩很令人心疼，当访问者用鼠标轻抚她的脸庞，孩子脸上的伤痕就会逐渐消失，是一个非常直观的广告。



    03、说到滑雪场的广告，有什么能比让浏览者在访问网页的时候就能畅快淋漓的体验一把滑雪的快感来得更直接呢？



    04、WWF经常会用一些容易让大家接受的方式来告诉我们一些生物残酷的生存环境。例如上次的生物进化史，而这次则是一个小的Flash游戏，整个参与的过程可以让人很明显的感受到地球暖化带来的不良影响。今天我们在游戏中拯救的是北极熊，但是或许，明日处于困境中的就是我们！



    05、下面让我们感受一下工作之外的舒适吧。



    06、咖啡豆下暗藏玄机？？？欲探究竟，还得亲自拨开豆豆一探庐山真面目。然后突然醒悟，原来不知不觉中竟然已经参与了SUPLICY咖啡豆的筛选工作，同时也开始明白SUPLICY的咖啡豆都是手工精心挑选的哦。



    07、这一款互动广告来自SABA银行。讲述的是这家银行一视同仁的服务标准，不会以貌取人。他们会为每一位客户提供一样优质的服务。设计师巧妙的将一个人饰演的不同阶层的客户通过变化表现出来，动画的切变非常自然，寓意表现非常直白。



    08、ARIEL(碧浪)是这样做的，画面中色彩斑斓的代表不同污渍。浏览者参与互动后，画面一切都变得干净了，记得要多点几下衣物才会洁净哦。



    09、
    A君：“他是一个好车手来的。”
    B君：“那你如何解释地上的这摊血?”
    A君：“呃～这个，警察叔叔，请麻烦重放一下刚才的录像带。”
    B君：“原来是喝了红酒。”
    A君：(流汗）“呃～，他的确是一个好车手，如果他不喝酒的话。”
    B君：“这话你留着对他说吧。”

    生命只有一次
    请不要酒后驾车



    10、儿童保护协会的公益广告,是让他向右，享受一个孩子应该享受的快乐?还是让他向左，过早的去为国家的利益奉献生命？



    11、房间寻物这样的游戏曾经有很成功的游戏例子，对于探索的概念很容易吸引用户的点击。当然，最大的成就感还是来自游戏最后，你发现如果购买这些厨房装备，还可以省下一大笔费用！


    Tag：创意 互动 广告 flash
    chapi 发表于20时23分56秒 | 阅读全文 | 评论 0 | 编辑 | 分享

  • 2008年07月27日

    简单破解Flash---解决flash无法本地播放 - [排疑解难]

    作者：tombkeeper
    来源：tombkeeper的和谐Blog

    在某网站上看到一个flash，觉得可以作为讲课时的演示，于是想保存下来。没想到保存之后再打开flash就不能正常播放了。

    我记得san以前学英语的时候搞过一批新东方的flash，于是找到他当时写的文档看了一下。这才知道，原来flash也是可以反编译的。

    用SWF Decompiler打开flash一看，发现里面果然有两个Action判断了自身所在的位置。伪代码如下：
    if (target._url.indexOf("somenonexistenthost.com") !=-1 || (target._url.indexOf("somestrings") != -1 ||(target._url.indexOf("_modules") != -1 || target._url.indexOf("web187")!= -1)))
    {
    var _l9 = new com.[/font]somenonexistenthost[font=宋体].crypto.aso#96727.aso#05500(target, pl, ci, pb, r, rp, w);
    }
    else
    {
    var _l10 = _root.attachMovie("sorry", "sorry", 0);
    trace(_l10);
    _l10._x = Stage.width / 2;
    _l10._y = Stage.height / 2;
    } // end if
    这就很好懂了，flash判断了自身所处的url里是否包含一些关键字，如果不包含，就进入一个“sorry”流程。

    当时san所用的方法是替换函数，把处理异常流程的函数换成正常的。我琢磨对于硬盘上的flash来说，所谓url应该就是全路径，只要路径中包含了上面这些判断中的任意一个，应该就可以正常播放。试着把文件名修改为web187.swf，果然就可以了。

    那怎么才能简单地干掉这个检测，以任意文件名来保存呢？我最开始想到的是把检查的字符串替换成“\”，因为路径中肯定会包含这个。后来发现，其实只要让字符串长度发生变化（譬如删掉一个末尾的字符），flash就会把这里解析为空串，indexOf("")的结果就不会是-1，这样就可以绕过检测了。

    要修改的flash文件是压缩过的，需要先用http://svn.mplayerhq.hu/ffmpeg/trunk/tools/cws2fws.c?content-type=text%2Fplain&view=cocws2fws这个工具来解压缩才能修改。
    Tag：破解 Flash 播放
    chapi 发表于20时46分10秒 | 阅读全文 | 评论 0 | 编辑 | 分享

  • 2008年05月31日

    FLASH漏洞被黑客广泛利用 网上惊现恶意代码生成器 - [安全资讯]

     5月29日，江民反病毒中心监测到，众多恶意网页正在利用旧版本FLASH的一个远程代码执行漏洞传播木马。目前江民病毒监测网已经监测到数千个利用该漏洞的恶意网页，而且利用该漏洞的恶意代码生成器已经在网上出现。

        江民反病毒专家介绍，这是一个存在于Adobe Flash旧版本中的一个远程代码执行漏洞，最新版本(9.0.124.0)则不受此漏洞影响。Adobe Flash插件被广泛应用于网上视频动画中，许多网上动画视频以及目前正在兴起的网页小游戏均使用Flash格式进行播放。而据江民反病毒专家统计，绝大多数用户使用的flash播放软件都是存在漏洞的版本。值得注意的是，经江民反病毒专家反复测试，该漏洞影响的并非只是IE浏览器，包括Firefox火狐浏览器均受此漏洞影响。

         江民反病毒专家已经监测到网上出现利用该漏洞的木马生成器，利用该生成器可以随意生成各种不同的恶意代码，目前网上已经出现大量的攻击该漏洞的恶意代码。
       
         针对此漏洞，江民杀毒软件KV2008（单机、网络）已及时升级，请用户及时升级病毒库到最新，即可有效防范利用漏洞的恶意代码攻击。另由于FLASH没有自动更新机制，江民反病毒中心正在紧急研发自动更新模块，将第一时间在江民网站公布，请用户及时关注。没有安装杀毒软件的用户，请登陆Adobe官方网站下载使用最新版本的FLASH插件，可有效防范利用该漏洞的各种恶意代码。下载地址：http://www.adobe.com/go/gntray_dl_getflashplayer

    5月29日，江民反病毒中心监测到，旧版本FLASH的一个远程代码执行漏洞正在被众多恶意网页利用，而且利用该漏洞的恶意代码生成器已经在网上出现。5月30日，江民反病毒中心紧急推出flash检测自动更新工具，供所有互联网用户免费下载使用，封堵flash漏洞。

         江民反病毒专家介绍，Adobe Flash旧版本中存在一个远程代码执行漏洞，最新版本(9.0.124.0)则不受此漏洞影响。Adobe Flash插件被广泛应用于网上视频动画中，许多网上动画视频以及目前正在兴起的网页小游戏均使用Flash格式进行播放。而据江民反病毒专家统计，绝大多数用户使用的flash播放软件都是存在漏洞的版本。值得注意的是，经江民反病毒专家反复测试，该漏洞影响的并非只是IE浏览器，包括Firefox火狐浏览器均受此漏洞影响。

         为了让更多的用户免遭病毒侵害，江民反病毒中心推出flash检测自动更新工具，供所有用户免费下载使用。使用该工具可以检测并自动更新用户的flash播放器软件到没有漏洞的最新版本。

         检测更新工具下载地址：
         http://filedown.jiangmin.com/download/JMFlashPatch.exe 

    5月28日消息，安全软件厂商赛门铁克和瑞星等公司今天均发布警报称，目前网络浏览器中广为应用的最新版本的Flash Player插件存在严重的安全漏洞，网上已出现利用该漏洞传播的多种木马病毒。

    　　赛门铁克警告称，当用户的Flash Player版本为9.0.124.0或更低就有可能受到攻击。该问题的严重程度及损害目前还未得到确定。不过赛门铁克认为：“攻击者可能会利用此问题在后台执行恶意代码，从而影响到应用程序”

    　　瑞星安全工程师王占涛表示，经过验证，黑客利用该插件的漏洞在用户电脑里安装木马的成功率高达70%-80%。他进一步表示，该插件在互联网应用的普及面极广，不包括Firefox等其他浏览器软件，目前90%以上用户的IE浏览器中都安装了该插件。

    　　赛门铁克研究人员也指出，因为Adobe Flash插件已经大量安装在用户的机器上，包括Windows、Mac、Linux等平台的用户均在使用这项技术，如果内容属实，那么后果将非常严重。

    　　与此同时，目前国内网络上已有数十个黑客论坛、QQ黑客群在私下出售此类木马，病毒作者在帖子里宣称“最新flash 0day网马，中率70%以上，过IE7。只为赚名不为赚钱跳楼价：5000，购买请联系QQ群：*****”。

    　　目前网络上流行的视频分享网站均需要Flash Player插件的支持。对此，王占涛表示，对于较大的正规视频分享网站，均有严格的审核管理机制，可以有效减少用户中木马的几率；而对于一些较小的视频网站，用户必须小心提防。

    　　据国外媒体报道，在上月举行的CanSecWest 2008 Pwn2Own破解竞赛中，Security Objectives组织的黑客Shane Macaulay利用Adobe公司的Flash软件中的一个安全漏洞突破了运行Windows Vista操作系统的富士通U810笔记本电脑。他的成功使他赢得了一台富士通笔记本电脑和5000美元奖金。

    Tag：FLASH 漏洞 黑客 补丁
    chapi 发表于18时37分28秒 | 阅读全文 | 评论 0 | 编辑 | 分享
共5页 1 2 3 4 5 下一页 最后一页

Lessons by English, baby!

随时随地看wap