Adob​​e Flash広告は、広告をホスティングしているサイトのユーザーアカウント名とパスワードを取得できますか？

Question

私はフラッシュベースの広告の最新のスタイルは、セキュリティ上のリスクと考えています。

訪問したサイトの一部のページで少しのアニメーション広告のダンスを見たことがありますか？通常、それはむしろ巧妙で軽度に面白い、ボールが跳ね返ったり、車を運転したり、あなたの注意を引くために何かをしている人のビデオです。あなたの読書に興味のあるものを包括しています。これらはかなり明確な広告です。

しかし、私はちょうどFlash広告が完全にオーバーレイされたサイトから来て、ホストサイトのコンテンツをマスクしました。広告自体はもちろん第三者のサイトから来ていたので、現在のコンテンツ、オーバーレイ画像、静的コンテンツのピクセル精度を完全に得てから、派手なブレークアウトアニメーションを作成することは、デザイナーの方がはるかに巧妙でした。 でなかったのはでした。私はアニメーション、広告が実行されていたことに全く気づいていませんでした。

その間、サイトにログインするためにフィールド内をクリックし、私のユーザー名とパスワードを自発的に入力しました（同時に見ている間もテレビを見ています）。私が戻ってきたとき、フィールドにはテキストが見えませんでした。私はそれらをもう一度クリックして、入力しようとしました。何も現れなかった。その後、広告はそのアニメーションを再生しました。

明らかに、広告はページのすべてを重ねて表示していましたが、私はFlashアプリケーション自体に焦点を当てていました。私は自分のFlashアプリケーションの開発から、アプリがフォーカスを持っている間に私のキー押下を完全に記録できることを知っています。だから...

「賢い」これらの広告を作成した経験がありますか？実際のコンテンツやフィールドをオーバーレイしてユーザーエントリをキャプチャするように設計された、真に悪意のあるFlash広告への被害者の被害を防ぐものは何ですか？

Answer 1

あなたが認識しているだけので、ページ内で実行されているフラッシュは、これは（フラッシュはJavaScriptでeval関数を呼び出すことができ、特にので）、プログラマは、彼らが望む任意のJavaScriptコードを実行することができますExternalInterface

を経由してJavaScriptに通信することができます。

フラッシュは、ページ上で実行されているため、フォームのユーザー名/パスワードフィールドにJavaScriptイベントハンドラを設定し、入力された値をキャプチャできます。フラッシュプログラムは、データで必要なものを何でも実行できます。

ログインしているサイトにログインページに広告が表示されている場合は、安全なログインではなくなりました。これは他のフォーム/ページデータにも当てはまります。あなたのオンラインバンキングは広告をフラッシュしていますか？

明確にする編集：

が広告をホスティングしているサイト用のAdobeのFlash広告取得ユーザーのアカウント名とパスワードはできますか？

はい

Answer 2

ああ、それは簡単じゃないですか？広告が掲載されていたウェブサイトは信頼できません。

ウェブサイトには、登録時に大きなのボタンが付いています。私は同意するボタン（人が頻繁に飛ばしてしまう）です。これは、個人情報が共有されないというユーザーの信頼を得るためです。&ポリシーを破ると訴訟を起こす可能性があります.....とにかく共通の条項です。

私の要点は、ウェブサイトが望むなら、とにかく自分のものを使いたいと思うならば。あなたがこれらのような広告を配置することによってあなたを騙そうとするなら、それはあなたの知識なしにあなたの情報を共有することと単純に同等です。