NCC Group 公开 XSCH 跨站内容劫持 PoC 工具

NCC Group 公开了一个采用 AGPL 许可的 PoC 项目 CrossSiteContentHijacking（XSCH），用于演示跨站内容劫持攻击。 据项目说明，该工具可演示三类利用：读取配置不当的 crossdomain.xml 或 clientaccesspolicy.xml 策略文件；利用未正确校验文件内容、或允许上传无 Content-Disposition 头的 SWF/PDF 文件的上传功能；以及利用配置不当的 HTML5 CORS 响应头。 项目说明同时限定，PDF 方式仅在 Adobe Reader 中可用，在 Chrome 和 Firefox 内置 PDF 阅读器中不生效。

AI 根据报道生成 · 2 天前更新

还没有足够的连续观测数据，暂不绘制趋势。