SNS火爆，Discuz!也适时地推出能将Discuz!论坛变为SNS网站的软件UCenter Home。该软件可以免费使用，不少Discuz!论坛进行了升级。在搜索引擎中搜索“Powered by UCenter Home”，可以得到约19400000条结果。我们安全研究团队发现该软件存在安全隐患，可以导致大量SNS网站被挂马。
之前听说UCenter Home搭建的SNS社交网站，可以弹出任意网站。听到这个消息我比较吃惊，那不就是说可以在UCenter Home搭建的SNS社交网站中随意地挂马吗?
经过一番检测，我发现UCenter Home的安全措施做得不错，一些常见可能出漏洞的代码都特别处理过了，但是没有对用户上传的Flash进行脚本过滤。
本期主角 UCenter Home
问题所在 Flash脚本过滤不严
主要危害 网站被黑客挂马
漏洞状况 已通知修复
之前听说UCenter Home搭建的SNS社交网站，可以弹出任意网站。听到这个消息我比较吃惊，那不就是说可以在UCenter Home搭建的SNS社交网站中随意地挂马吗?
既然同事敢这么说，一定是有根据的，我决定寻找原委，一探究竟。经过一番检测，我发现UCenter Home的安全措施做得不错，一些常见可能出漏洞的代码都特别处理过了，但是没有对用户上传的Flash进行脚本过滤。
安全小百科：UCenter Home是一套采用PHP+MySQL构建的社交化网络软件(Social Network Software，简称SNS)。通过它建站者可以轻松构建一个以好友关系为核心的SNS交流网站，让站点用户可以用迷你博客一句话记录生活中的点点滴滴，方便快捷地发布日志、上传图片，与其好友们一起分享信息、讨论感兴趣的话题。
Flash脚本过滤不严
SNS社交网站允许插入Flash动画再平常不过，可谁也没想到Flash的安全隐患。Flash支持一种名为ActionScript的脚本语言， 它可以让Flash实现许多交互效果，也留下了诸多隐患，例如弹出新窗口等，没有对ActionScript进行有效的过滤，最终导致了UCenter Home可以被黑客在里面挂马。
这一次UCenter Home中的漏洞允许黑客做两件事情，弹出网页和弹出窗口，比起一般的挂马漏洞来说，黑客可以做更多的坏事，例如在挂马之外黑客通过弹出中奖网页进行诈骗。
安全小百科：ActionScript脚本语言是 Macromedia(现已被Adobe收购)专门为Flash开发的，最初是一种简单的脚本语言，现在最新版本3.0，是一种完全面向对象的编程语言，功能强大，类库丰富，语法类似JavaScript，多用于Flash互动性、娱乐性、实用性开发，网页制作和RIA应用程序开发。