寻求可用于安全测试练习的刻意漏洞Flash应用（类Damn Vulnerable应用）

作为一个折腾安全测试多年的老玩家，完全懂你想要现成靶场练手的心情——自己开发确实太费时间了。给你几个实用的方向：

• 从公开漏洞库挖掘现成样本
  很多历史上公开的Flash漏洞（比如CVE收录的那些），对应的漏洞报告里往往会附带存在漏洞的SWF样本。比如找CVE里标记为Adobe Flash Player的漏洞条目，不少都会在漏洞详情或附带的PoC里提供有问题的SWF文件。这些样本都是真实存在过的漏洞，你不仅能练习测试和利用，还能对照漏洞分析文档理解原理，一举两得。

• 给开源SWF项目手动注入漏洞
  去代码托管平台搜一些老旧的开源Flash项目（比如简单的小游戏、表单工具类SWF），这些项目代码结构简单，你可以手动植入常见的Flash安全漏洞：比如不对FlashVars传入的参数做过滤直接渲染，或者允许未授权的本地文件读取，甚至是存在沙箱绕过的逻辑。这种方式比从零开发简单，还能帮你理解漏洞是怎么“不小心”被引入的，对后续的代码审计也有帮助。

• 刷CTF平台的Flash相关题目
  很多CTF（Capture The Flag）比赛的历史题目里都有Flash漏洞相关的题型，比如SWF反编译后的代码审计、Flash XSS利用、沙箱绕过获取权限等等。这些题目会直接提供有漏洞的SWF文件，而且社区里往往有解题思路分享，你可以跟着一步步练习从分析到利用的完整流程，非常适合实战训练。

• 用漏洞工具生成测试样本
  像Metasploit这类安全工具集里，有不少针对Flash漏洞的exploit模块，部分模块可以直接生成带有特定漏洞的SWF文件。比如你可以用模块生成一个包含某经典代码执行漏洞的SWF，然后练习如何在受控环境下触发漏洞、完成利用，这对熟悉漏洞利用流程很有帮助。

最后提醒一句：现在Flash已经被主流浏览器淘汰了，你得搭建一个兼容的测试环境——比如装Chrome 80之前的版本，配合对应版本的Adobe Flash Player，才能正常运行这些SWF文件哦。

内容的提问来源于stack exchange，提问作者Brewer