web-dev-qa-db-ja.com

crossdomain.xmlファイル-それは悪いですか？

サイトのドキュメントルートに次の内容のcrossdomain.xmlがあります。

<?xml version="1.0"?>
<!DOCTYPE cross-domain-policy SYSTEM "http://www.macromedia.com/xml/dtds/cross-domain-policy.dtd">
<cross-domain-policy>
<allow-access-from domain="*.doubleclick.net" />
</cross-domain-policy>

これは、正しい広告を読み込むために、リッチメディア広告を使用しているAdSense広告主に私のウェブサイトのコンテンツを見てもらいたいからです。

その後、detectify.comのサイトを確認し、ファイルに関する次の警告を表示しました。

ワイルドカードcrossdomain.xmlポリシー

これは何を意味するのでしょうか？

Crossdomain.xmlポリシーファイルを使用すると、サブドメインでホストされているSWFファイルがドメインと対話できます。

何が起こりますか？

攻撃者がいずれかのサブドメインでSWFをアップロードできる場合、またはサブドメインを制御できる場合、攻撃者はドメインでCSRF保護をバイパスでき、アプリケーションによっては機密データを読み取ります。

私の質問は、私が本当に何をすべきかです。

ウェブサイトにShockwave Flashファイルが含まれていなくても、ハッカーは深刻な損害を与えますか（広告ユニットに配置された広告主を除く）。もしそうなら、私はそれを削除する必要があります。ただし、crossdomain.xmlファイルが見つからないために広告が適切に配信されないために収入が大幅に減少する場合は、そのファイルが必要だと感じます。

ここで何をすべきですか？

domainsgoogle-adsenseflash
4
Mike

これは、誰かが悪意のある広告をより簡単に作成できることを意味します。クロスドメイン広告を許可すると、許可されたWebサイト（広告）上のすべてのFlashコンテンツがサイト上のフォームを送信したり、現在ログインしているユーザーのデータを読み取ったりできます。サイトに応じて、これにより次のことが容易になります。

  • ユーザーデータの盗難
  • 管理者機能の不正使用
  • 自動化されたスパム登録
  • Samy Myspaceワーム -ユーザー間でサイトに広がるウイルス
  • ユーザーが知らないうちに作成された偽造（またはスパム）コンテンツ。
1
Stephen Ostermiller