Et sikkerhetshull eller en funksjon?

[abene]

En merkelig funksjon i Windows har kommer frem i lyset, men er dette en nyttig funksjon eller et sikkerhetshull?

Les mer

[Staalkontroll]

Lurer på hvem som sitter å tester slikt

[john.einar]

Opplevde dette senest i går på jobb, så dette er vel ikke noe nytt? Har opplevd dette i flere år, så rart at ingen andre har opplevd det før.

 

Uansett så er det en funksjon, men den kan være et sikkerhetshull om det er implementert med mange feil, som Microsoft har som vane.

 

Tenker da på feil som:

a) kan man bruke standard shell links?

b) kan man gi argumenter til link'en ?

 

Grunnen til at dette i det heletatt fungerer er dette: du har skrevet en ikkefullstending path. Internet explorer vil da prøve seg litt fram:

 

 

er det en manglende file://? La oss prøve file:///<whatigot>

ikke? manglende http://? La oss prøve http://<whatigot>

ikke? manglende ftp://? La oss prøve ftp://<whatigot>

ikke? kanskje manglende http://www.? La oss prøve http://www.<whatigot>

etc....

 

Hvordan andre browsere implementer denne intelligensen og om file:// er med i forsøkene vet jeg ikke.

[Pedro80]

Watson mener videre at denne aktuelle funksjonen kan for eksempel brukes til å automatisere prosesser i Windows.

Da spør jeg (som er en junkie når det kommer til å automatisere ting i M$ Win):

hva kan man automatisere og hvordan?

 

Kommer liksom ikke på noe lurt å bruke dette til..

[aspstein]

Kan jo tulle litt med familie og venner med dette her da.

 

Tenk når noen skal inn på vg.no så starter du istedenfor et eller annet program

[VikinGz]

er ikke mange sidene man skriver www..... forran da...

[MCDr]

Hva skal dette brukes til? En funksjon? Har Explorer plutselig liksom blitt en launcher?

Kunne jo kanskje vært praktisk at det funker i Utforskern, men kanskje ikke så smart i IE..

[efikkan]

Etter min mening er dette absolutt et sikkerhetshull. Tenk for eksempel på skoler der administrator har satt begrensninger på noen program, så kan en elev dermer kjøre hvilket som helst program. Da kan det utgjøre en trussel.

 

Jeg ser ikke hvordan denne funksjonen kan være nyttig.

 

Men det er ikke første gang at Microsoft benekter feil i IE.

[Wraith]

Etter min mening er dette absolutt et sikkerhetshull. Tenk for eksempel på skoler der administrator har satt begrensninger på noen program, så kan en elev dermer kjøre hvilket som helst program. Da kan det utgjøre en trussel.

 

Jeg ser ikke hvordan denne funksjonen kan være nyttig.

 

Men det er ikke første gang at Microsoft benekter feil i IE.

6488631[/snapback]

Det endrer vel egentlig ikke navnet på exe-koden som kjøres, og er vel derfor ikke noe stort problem? Ikke at dette er noen ny funksjon, alle objekter som ligger på desktopen har jo kunne blitt åpnet slik i mange år.

[efikkan]

Etter min mening er dette absolutt et sikkerhetshull. Tenk for eksempel på skoler der administrator har satt begrensninger på noen program, så kan en elev dermer kjøre hvilket som helst program. Da kan det utgjøre en trussel.

 

Jeg ser ikke hvordan denne funksjonen kan være nyttig.

 

Men det er ikke første gang at Microsoft benekter feil i IE.

6488631[/snapback]

Det endrer vel egentlig ikke navnet på exe-koden som kjøres, og er vel derfor ikke noe stort problem? Ikke at dette er noen ny funksjon, alle objekter som ligger på desktopen har jo kunne blitt åpnet slik i mange år.

6488843[/snapback]

Poenget var at dette er et triks som kan brukes til å kjøre hvilket som helst program (som kanskje egentlig er sperret av). Men nytt er det nok ikke. Det har sikkert vært der i mange år.

[el_cash]

Poenget var at dette er et triks som kan brukes til å kjøre hvilket som helst program (som kanskje egentlig er sperret av). Men nytt er det nok ikke. Det har sikkert vært der i mange år.

6488870[/snapback]

 

Nja... Sikker på dette? Hvis en bruker ikke har tilgang til en applikasjon, så spiller det ingen rolle hvordan han forsøker å åpne den. Såvidt jeg kan se så fungerer denne nevnte løsningen kun som en shortcut til en .exe-fil, og da er det jo fremdeles brukers rettigheter som gjelder. Right?

[hobgoblin]

er slike resultater en får når en krysser en filbehandler med en webleser...

 

husk at en kan fyre opp explorer.exe, skrive inn en url og vips så har vinduet blitt til ie.exe (begge er egentlig bare skall som leser forskjellige settings, dem benytter mange av de samme dll-ene).

 

når en så tenker over at den addresselinjen er koblet til run/kjør muligheten i start-menyen så begynner ting å bli virkelig "morsomt".

 

for mye blanding av jobber rett og slett, og for dårlige skiller mellom dem.

 

hadde ie/explorer vært en politiker så hadde en snakket om interessekonflikt...

[AnaXyd]

En stor bug ja, som absolutt burde fjernes...

[TaZ]

Etter min mening er dette absolutt et sikkerhetshull. Tenk for eksempel på skoler der administrator har satt begrensninger på noen program, så kan en elev dermer kjøre hvilket som helst program. Da kan det utgjøre en trussel.

 

Jeg ser ikke hvordan denne funksjonen kan være nyttig.

 

Men det er ikke første gang at Microsoft benekter feil i IE.

6488631[/snapback]

Det endrer vel egentlig ikke navnet på exe-koden som kjøres, og er vel derfor ikke noe stort problem? Ikke at dette er noen ny funksjon, alle objekter som ligger på desktopen har jo kunne blitt åpnet slik i mange år.

6488843[/snapback]

Poenget var at dette er et triks som kan brukes til å kjøre hvilket som helst program (som kanskje egentlig er sperret av). Men nytt er det nok ikke. Det har sikkert vært der i mange år.

6488870[/snapback]

 

Fungerer ikke det..

Du starter bare snarveien og har bruker ikke rettigheter til å kjøre programet så starter det ikke..

 

Har selv prøve dette trixe på maskiner som har kun tilgang til IE..Nordsjøen feks..

 

Bare å skrive feks..kontrollpanel ,skrivebord ,brukerkontoer o.l i IE så poppe det opp..

[Uxzuigal]

Dette har jeg jo vist i alle eivghet, kanskje de burde ansette meg?

[sveinsel]

"Den omstridte funksjonen skjer visstnok kun i Internet Explorer, og skjer når brukeren skriver inn en ufullstendig nettadresse i adressefeltet, f.............."

 

De som ikke liker dette, eller finner det som mistenkelig,--- kan kjøre en annen nettleser. Nå er Mozilla Firefox 2 Beta 1 nokså lik Internet Explorer Beta 3 så det skulle ikke være noe problem ..... å finne noe annet.

 

Alle liker ikke Microsoft, men Alle bruker det.

Endret 14. juli 2006 av sveinsel

[Nedward]

Peter Watson, sikkerhetssjef i Microsoft, anser ikke dette som et sikkerhetshull, men en funksjon som kan være nyttig. Han mener et sikkerhetshull kan hjelpe en angriper til å utføre en ondsinnet handling som ellers ville ikke vært mulig. Watson mener videre at denne aktuelle funksjonen kan for eksempel brukes til å automatisere prosesser i Windows.

 

Ut i fra dette avsnittet kan det virke som om at han prøver å si at dette var en finesse som ble laget med viten og vilje. Noe jeg tviler sterkt på. Da hadde det nok vært allment kjent 5 år tidligere. Dessuten ser jeg ikke helt hvordan man kan automatisere prosesser i windows med hjelp av IE. Kan noen opplyse meg litt om akkurat det?.

[834HF42F242]

Dette har jeg også alltid visst om. Trenger man kalkulatoren fort, er det bare å skrive "Calc". Dette er jeg skråsikker på at er implementert i IE med vilje. Har dog aldri hatt bruk for funksjonen...

[ttt]

Peter Watson, sikkerhetssjef i Microsoft, anser ikke dette som et sikkerhetshull, men en funksjon som kan være nyttig. Han mener et sikkerhetshull kan hjelpe en angriper til å utføre en ondsinnet handling som ellers ville ikke vært mulig. Watson mener videre at denne aktuelle funksjonen kan for eksempel brukes til å automatisere prosesser i Windows.

 

Ut i fra dette avsnittet kan det virke som om at han prøver å si at dette var en finesse som ble laget med viten og vilje. Noe jeg tviler sterkt på. Da hadde det nok vært allment kjent 5 år tidligere.

Ut frå denne tråden virker det no som det er godt kjent, i alle fall blant erfarne brukarar. Så det er ikkje noko i vegen for at dei har lagt til denne funksjonen bevist.

[834HF42F242]

Det er hauevis av slike småfinesser å oppdage i Windows. Da 98 kom ut i sin tid, var det store at "Internett var integrert" i selve operativsystemet. Derfor slike funksjoner som henger igjen fra gammelt av. Kan i beste fall kalle unødig bakoverkompabilitet.

Endret 14. juli 2006 av neitakk