Lesen lokaler Dateien über I-Frame möglich?

Er ist sich auch selbst nicht sicher, ob es sich tatsächlich um ein Sicherheitsproblem handelt: Schließlich können externe Webseiten nicht direkt auf lokale Dateien zugreifen, sondern müssen den Umweg über eine lokale Zwischenstation nehmen; dem Browser ist dabei eigentlich nichts vorzuwerfen, er verhält sich genau wie vorgesehen.

Du musst dem Download schon zustimmen, also ist jeder selbst verantwortlich.

Zitat von Tati

auch dabei?

Du musst zuerst diese html-Datei downloaden und/oder öffnen, sonst läuft da gar nichts.

Also liegt die Verantwortung immer noch bei Dir.

Jo, der kleine Fuchs macht Spass.

Zitat

Um diese Sperre zu umgehen, kann ein Web-Server eine Datei mit einem unbekannten Dateityp versehen. Wählt der Anwender im Dialog "Öffnen" mit dem Browser, wird die Datei lokal zwischengespeichert und dann mit den lokalen Rechten geöffnet. Antwortet der Anwender "Speichern" und öffnet die Datei später, gilt natürlich dasselbe.

Ohne den Benutzer passiert da nichts und ohne Benutzer wäre es natürlich sicherer. :lol:
Ich denke jetzt beginnt langsam die Suche nach Fehler und "Löchern" beim Fuchs.

Zitat von erna4711

Ich denke jetzt beginnt langsam die Suche nach Fehler und "Löchern" beim Fuchs.

Das war klar, dass das passieren wird und es ist auch gut so

auch nach längeren "drüber nach denken" kann ich kein fox- problem erkennen. das Delvecchio diese möglichkeit entdeckt hat ist super, aber wie er selbst feststellt: "... Er ist sich auch selbst nicht sicher, ob es sich tatsächlich um ein Sicherheitsproblem handelt: Schließlich können externe Webseiten nicht direkt auf lokale Dateien zugreifen, sondern müssen den Umweg über eine lokale Zwischenstation nehmen; dem Browser ist dabei eigentlich nichts vorzuwerfen, er verhält sich genau wie vorgesehen..." mal die augen und ohren offen halten, was sich aus dieser möglichkeit noch entwickeln läßt - kann durchaus noch interessant werden.

lg, ferkeldieb

Gott ist das ein Schwachsinn. Man muss die datei schon erstens auf seinem eigenen Rechner herunterladen, sonst hätte man ja keine lokalen rechte und dann müsste man die seite noch so bauen, dass sie den inhalt dieser datei an einen server schickt. was man mit javascript (location.href) sogar machen könnte... aber das ist doch kein sicherheitsloch, wenn man aktiv selber sich seiten auf den rechner holt und ausführt. Seltsame Definition von "Sicherheitsproblem"... ein Sicherheitsloch wäre es, wenn der Benutzer nicht daran nicht aktive beteiligt wäre. naja... wenns schön macht... *kopfschüttel*

1. ich sehe das auch nicht als sicherheitsloch, da der user mitwirken muß.
2. ist heise IMHO sowieso von M$ geschmiert.

hehe ja... bei internet explorer wäre sowas ja langweilig, aber bei firefox... oho eine downgeloadete exe richtet schaden an ohohohoho....

Naja, mein Vorschlag wäre, dass Internetseiten die Lokal sind nur nach Abfrage was ins Internet senden können, bzw. ins internet verlinken, wenn ein GET gefunden wird (oder sonstwas eben). Eine normaler Link sollte dagegen auch aufrufbar sein ohne bestätigung. Damit wäre das Problem wohl gegessen....

Ist eigentlich http://hijackthis.de/ auch eine Sicherheitslücke? Dort kann man eine lokale Textdatei angeben, die dann ausgelesen (und ausgewertet) wird.

Zitat von DeckMan

Ist eigentlich http://hijackthis.de/ auch eine Sicherheitslücke? Dort kann man eine lokale Textdatei angeben, die dann ausgelesen (und ausgewertet) wird.

Ein Datei-Upload wird ja vom User selbst initiiert: er muss die Datei angeben und einen Absenden-Button anklicken. Deshalb meiner Meinung nach nicht, da ansonsten selbst ein Texteingabefeld eine Sicherheitslücke wäre, weil man ja ein Passwort eintippen könnte. :wink:

D.h. man könnte das nicht dazu nutzen, eine Datei (die man kennt) ungefragt hochzuladen?

Ungefragt schonmal garnicht.

Zitat von DeckMan

D.h. man könnte das nicht dazu nutzen, eine Datei (die man kennt) ungefragt hochzuladen?

Wenn jemand weiß, dass und wo es eine Datei gibt, ist es schon zu spät.

Zitat von Dr. Evil

Wenn jemand weiß, dass und wo es eine Datei gibt, ist es schon zu spät.

Dass muss man aber auch wissen, um die andere Sicherheitslücke auszunutzen