Adobe Flash 占安全产品公司 2014 年和 2015 年检测到的零日攻击的三分之一

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› RANDOM.org 密码生成器

› uBlock

› Authy

› LastPass

› FreebuF.com

› Beebeeto

› Dashlane 密码管理器

这是一个创建于 3218 天前的主题，其中的信息可能已经有所发展或是发生改变。

ccc

对于软件开发人员及其用户而言，应用程序漏洞是始终是无法避免的问题。 AdobeFlash 可能是最常被攻击产品： Flash 漏洞（包括 CVE-2015-0311 和 CVE-2015-0313 ）几乎占安全产品公司 2014 年和 2015 年检测到的零日攻击的三分之一。尽管 Flash 已经臭名昭著，但是 Adobe 仍然快速地修复了存在的漏洞。而且，由于最新的 FlashPlayer 补丁中引入了新的降低风险的功能，我们预计，这种攻击媒介的热潮（尤其是通过漏洞利用工具包发起攻击）会在明年降温。
由于不断提升 Flash 安全和利用标准，这些降低风险的功能会让“媒介喷洒”这种利用手段不再受欢迎。不过，任何防御措施或风险降低方案都不是完美的。由于 Flash 的代码质量和复杂性并未改变，因此，仍然会存在很多 Flash 漏洞。我们预计会发现一些风险降低方案概念的工作证据，并于明年披露。
一些开发人员呼吁 HTML5 取代 Flash ，而且， GoogleChrome 即将禁用 Flash 。不过，禁用 Flash 的过渡期会很漫长。互联网充斥着遗留的 Flash 内容，至少桌面机是这样（但移动设备不是这样）。我们不敢奢望很快发生这种变化。

flash

漏洞

攻击

Adobe

9 条回复 • 2016-02-20 12:29:58 +08:00

Akagi201

2016-02-20 08:40:29 +08:00

目前直播还是依赖 flash 啊. 希望 webrtc 能快点发展起来, 就不需要这个 flash 毒瘤了

typcn

2016-02-20 10:08:15 +08:00

@Akagi201 直播早就不依赖 Flash 了，而且也跟 webrtc 没什么关系

sorcerer

2016-02-20 10:09:50 +08:00 via iPhone

@typcn 但是国内的直播网站还都是 flash 播放器...

Akagi201

2016-02-20 10:16:31 +08:00

@typcn 不用 flash 怎么放 rtmp http-flv

typcn

2016-02-20 10:16:58 +08:00

@sorcerer 那是直播网站自己的问题。。网页直播本身并不依赖

typcn

2016-02-20 10:20:24 +08:00

@Akagi201 为什么非要用 Adobe 的私有协议？直接用 Matroska 容器封装 h264 流就能在主流浏览器里面直接 <video src=""> 播放了，要是土豪还可以转码成 webm （ vp9 ）。如果不需要考虑延迟，还有 HLS 和 Media Source Extension

honeycomb

2016-02-20 12:14:33 +08:00

@Akagi201 twitch 已经切换到 html5 ， flash 则是后备

Akagi201

2016-02-20 12:17:11 +08:00

@honeycomb 恩, 据说是今年 Q2 全面切换, 不知道他们怎么保证低延时的.

@typcn 你不用 rtmp 的话, 你的延时大约在几秒内?

typcn

2016-02-20 12:29:58 +08:00

@Akagi201 用 MKV or WEBM 流最低可以保持在一个 GOP + 网络传输时间，跟 HTTP FLV 相同

如果是 HLS 或者 MSE 可以保持在一个切片 + 网络传输时间 + 大概 1 秒