Avatar billede blahblah Nybegynder
28. marts 2003 - 18:34 Der er 15 kommentarer

ubevist upload

Jeg sad og overvejede en ting.
Er det ikke meget nemt at få brugere til at uploade filer uden at de ved det ?

Man laver bare en formular hvor brugeren skal udfylde nogle felter, eller man bruger bare en submit buttom som knap.
Hvad brugeren ikke kan se er at man også har lavet et upload felt, og ved hjælp af CSS har man lavet hele feltet ensfarver, så det fylder totalt ud med baggrunden (forudsat den er ensfarvig), og predefineret en værdi i feltet. Når brugeren så submiter bliver filen så uploadet, uden at brugeren er klar over det.
Avatar billede ahv Nybegynder
28. marts 2003 - 18:35 #1
Dette kan ikke lade sig gøre.

Desuden kan du skjule et felt med type="hidden" ;o)
Avatar billede ztyxx Nybegynder
28. marts 2003 - 18:37 #2
og desuden skal du jo vide hvad du skal have fat i på brugerens maskine
Avatar billede ahv Nybegynder
28. marts 2003 - 18:37 #3
ztyxx >> nemlig
Avatar billede blahblah Nybegynder
28. marts 2003 - 18:39 #4
ahv << *hvorfor* kan det ikke lade sig gøre ?

Og nej, den med type="hidden" holder jo ikke, for når man skal uploade noget bliver man nød til at bruge type="file"
Avatar billede donwang Nybegynder
28. marts 2003 - 18:39 #5
Man kan da bare få den til at uploade mappen dokumenter:O)
Avatar billede blahblah Nybegynder
28. marts 2003 - 18:39 #6
ztyxx << ja, jeg ved godt man skal vide hvad man skal have fat i, men det er bare princippet i det.
Avatar billede ahv Nybegynder
28. marts 2003 - 18:40 #7
blahblah: Sorry ja Det er rigtigt nok:

Hvor vil du da hen med at hente en fil? Hvis du leder efter en fil der hedder "ahv.txt" Hvor skulle du så vide fra hvor den var henne på min computer? og hvem siger jeg overhovedet har denne fil.
Avatar billede ztyxx Nybegynder
28. marts 2003 - 18:42 #8
og hvem siger at ahv går ind på din side*LOL*
Avatar billede ahv Nybegynder
28. marts 2003 - 18:43 #9
;o)
Avatar billede razor Nybegynder
28. marts 2003 - 18:44 #10
Jeg er ret overbevist om at jeg så en proof of concept på et exploit til det på bugtraq listen (ifbm. ondragstart event bug). Leder lige.
Avatar billede dmcn Praktikant
28. marts 2003 - 18:45 #11
Det kan ikke lade sig gøre af den simple grund, at du ikke kan foruddefinere en value i et file-inputfelt.
Avatar billede razor Nybegynder
28. marts 2003 - 18:47 #12
Det er ikke meningen at det skal fungere sådan. Det er et sikkerhedsbrist fra en bug.

http://msgs.securepoint.com/cgi-bin/get/bugtraq0302/12.html
http://kuperus.xs4all.nl/security/ie/xfiles.htm
Avatar billede blahblah Nybegynder
28. marts 2003 - 19:06 #13
n0rmality << okey, den havde jeg ikke lige overvejet :)

razor << okey, så det kan godt lade sig gøre, det er bare en anelse mere advanceret end jeg først havde forudsagt :)
Desværre fatter jeg ikke så meget JavaScript, så er der nogen som kan forklare mig hvad der sker her:
http://kuperus.xs4all.nl/security/ie/xfiles.htm
Avatar billede zyco Nybegynder
28. marts 2003 - 19:08 #14
måske kan man godt hvis man gør det man filer man ved hvor ligger f.eks. C:\WINDOWS\System32\calc.exe

eller C:\WINDOWS\System32\mspaint.exe
Avatar billede xyborx Nybegynder
31. marts 2003 - 08:50 #15
I langt de fleste browsere kan værdien af et type="file" felt ikke sættes vha JavaScript eller value="en-eller-anden.fil". Det ville være alletiders sikkerhedshul, hvis browserproducenterne 'glemte' at lave den begrænsning. Har selv overvejet muligheden og søgt en masse på nettet, og min konklusion var altså at det normalt ikke er muligt på en simpelt måde. (Jeg udelukker ikke muligheden 100%, jeg siger bare at det ikke er nemt ;)
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
Vi tilbyder markedets bedste kurser inden for webudvikling

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester