关于 Flash 挂马的解决方法

最近大家都看到了这篇文章，让大多数站长感到了恐慌。然而这有一个无法逃避的问题。flash 是一个流行已久的东东，他给我们带来的方便和惊喜已经不言而喻。
但是好东西用的久了，研究的人多了，关于利用她来做一些不好事情的做法就多了起来，早在 UCHOME 1.5 版本，我们就发现了这个flash这个让人又爱又恨的地方，2.0 版本已经去掉了随便看看的首页flash幻灯片（虽然图片是可以人为控制）。
我们看一下入侵的原理，文章来自：http://www.phpchina.com/html/24/n-35324.html，有兴趣的可以详细看一下。
我们大概的说一下，在写日志和话题的时候，我们可以插入flash 动画，如：

1. [flash]http://wwww.xxxx.xxxx/xxxx.swf[/flash]

复制代码

这段代码在发布的时候，经过解析，生成 flash 标准代码并显示，因为系统不能做到分析 flash 文件，更不能解析到 flash 中的代码，所以当有恶意的flash经过上传之后，引起了一些不好的影响。


下面就说一下 2.0 版本中插入flash 的地方：

flash 在调用 javascript 脚本的地方有一个控制的参数：

1. <PARAM NAME="AllowScriptAccess" VALUE="">

复制代码

这里的 value 有三个数值：

1. 
   
2. always 默认值，可以和 html 页面进行通信。
   
3. sameDomain 当 SWF 文件和 HTML 页是同一个域名下，才可以通信
   
4. never 用了这个就会禁止flash与网页脚本进行通信
   

复制代码

我们知道了这些，就做一下设置吧：
找到 source/function_blog.php, 403 行左右：

1. <param name="allowscriptaccess" value="always">
   
2.                         <embed src="'.$swf_url.'" type="application/x-shockwave-flash" width="'.$width.'" height="'.$height.'" allowfullscreen="true" allowscriptaccess="always"></embed>

复制代码

修改为：

1. <param name="allowscriptaccess" value="sameDomain">
   
2.                         <embed src="'.$swf_url.'" type="application/x-shockwave-flash" width="'.$width.'" height="'.$height.'" allowfullscreen="true" allowscriptaccess="sameDomain"></embed>

复制代码

或许有人要问，这样修改有什么影响没有呢?
因为 flash 想要执行 javascript ,  因为 uchome 本身没有为外来 flash 定义任何 script ，所以flash只能调用系统的函数，比如打开页面，提示消息等等。基于这些，对用户的体验影响并不是很大。
另外十分感谢“一文天”提供病毒 flash 测试，并提供思路。

沙发，第一次

HOHO,刚知道的时候真的吓了一跳。后来又想了想，觉得自己有点大惊小怪。
不过官方的回复确实是很快的啊。

挂马确实很可怕~~~~~~

希望官方出一个统一的补丁包呀！