Lokale Bilder in Firefox - sicher/unsicher?

Wenn die Seite eine extrem miese Sicherheitsstruktur hat, könnte ein "Angreifer" wohl auch auf die Festplatte zugreifen.

Falls die Seite aber so schlecht geschrieben wiúrde, sollte ihr das wirklich nicht gewährt werden.

Mit dieser Funktion können Angreifer nichts von der Festplatte lesen. Die Funktion ist wirklich nur dazu da, das Anzeigen von lokalen Bildern oder anderen Dateien auf Internetseiten zu verhindern. Selbst wenn man das erlaubt besteht grundsätzlich keine Gefahr, weil die lokale Datei ja nicht an die Webseite zurückgesendet wird, sondern eben nur in der externen Datei eingebettet angezeigt wird.

Wenn es jemand schaffen würde, ein JavaScript in die Seite einzufügen, könnte dieses meines Wissens mit XMLHTTPRequests und evtl. IFrames mindestens alle Dateinamen auf der Festplatte und textbasierte Dateien, die Firefox anzeigen kann, auslesen und verschicken.

PS: yeah! Serienmäßiges Inline-Spellchecking rulet!

XMLHTTPRequest kann nur auf der selben Domain benutzt werden. Wenn das Script von einer Internetseite kommt, kann man damit nicht auf lokale Dateien zugreifen.

Auch Iframes, die eine fremde Domain bzw. ein ganz anderes Protokoll als Inhalt haben sind scripting-sicher. Dann der Inhalt nicht vom Elterndokument ausgelesen werden. Jedenfalls nicht, solange keine Sicherheitslücke besteht.

Zitat von Dr. Evil

PS: yeah! Serienmäßiges Inline-Spellchecking rulet!

*Im trunk will*

Zitat von JonHa

XMLHTTPRequest kann nur auf der selben Domain benutzt werden. Wenn das Script von einer Internetseite kommt, kann man damit nicht auf lokale Dateien zugreifen.

Auch Iframes, die eine fremde Domain bzw. ein ganz anderes Protokoll als Inhalt haben sind scripting-sicher. Dann der Inhalt nicht vom Elterndokument ausgelesen werden. Jedenfalls nicht, solange keine Sicherheitslücke besteht.

Genau diese Überprüfungen werden aber doch durch diese Einstellungen außer Kraft gesetzt?

Zitat von JonHa

*Im trunk will*

sind sie da noch nicht? Ist hier ja schon im 1.8-Branch... (dank http://dictionaries.mozdev.org/installation.html sogar deutsch :))

Zitat von Dr. Evil

Genau diese Überprüfungen werden aber doch durch diese Einstellungen außer Kraft gesetzt?

Sicher?
Meines Wissens wird doch nur erlaubt, lokale Dateien von anderen Webseiten einbinden zu lassen. Danach verhält sich dann der Firefox in diesem Punkt etwa wie der IE. Lokale Dateien werden angezeigt, können aber nicht von der Webseite ausgelesen werden. Jedenfalls nicht ohne Sicherheitslücke.

Zitat

sind sie da noch nicht? Ist hier ja schon im 1.8-Branch... (dank http://dictionaries.mozdev.org/installation.html sogar deutsch :))

Nein, der spellchecker ist merkwürdigerweise bis jetzt nur im 1.8.1-Branch.

Ok, wenn ich das hier (ich hab den 1.7er Branch genommen und nach der alten security.checkloaduri-Einstellung gesucht, weil ich denke, der Code ist einfacher nachzuvollziehen als der CAPS-Code) richtig interpretiere (ich kann kein C++), dann stimmt das, was ich vorher alles gesagt habe nicht. Die Einstellung kontrolliert einzig und allein, welche Protokolle auf welche Protokolle linken dürfen und daher müsste der Angreifer nicht nur ein JavaScript einschleusen, sondern die gesamte Domain übernehmen...

Im Wiki steht aber trotzdem noch dieser Warnhinweis: Die folgenden Hinweise geben den entsprechenden Seiten volle Leserechte auf alle lokalen Dateien, sowie auf durch Firewalls geschützte Webseiten, inklusive Passwörtern, Kreditkarteninformationen...

Wenn das alles so ungefährlich ist wieso ist das dann so schwer abgesichert? Und warum denn dieser Warnhinweis? Dieses böse Wort allAccess ist auch nicht gerade vertrauenserweckend.