Newsgroup: it.comp.lang.javascript
Titolo: Eseguire un file senza conferma

Tempo fa qualcuno aveva chiesto se fosse possibile attraverso javascript
mandare in esecuzione un file del client senza che l'utente si veda scritto
un messaggio di conferma.
Tutti, me compreso, avevamo risposto: "No, e per fortuna!"
Qualche giorno fa ho trovato questo articolo:
http://punto-informatico.it/p.asp?i=40908
ho provato l'esempio:
http://www.pivx.com/larholm/adv/TL003/execute.html
e, su IE6, a me funziona perfettamente:
digitando il nome di un file sul mio hard disk
lo posso aprire tranquillamente dalla pagina web,
senza alcuna conferma.
Ho visto il codice, e mi sembra anche abbastanza facile.
Che ne pensate?
MaRoK

Penso che:
a) è un bug scoperto da pochi giorni (uno degli infiniti che assillano IE)
b) Microsoft non ha ancora rilasciato la patch, ma lo farà a giorni
c) Punto Informatico non dovrebbe divulgare queste notizie prima che sia
disponibile una patch (anche se è stata diffusa da un'altra persona, che
lavora proprio per scoprire i bugs, e che è già stata "richiamata" da
Microsoft proprio per questa divulgazione)
Riassunto: puoi usarlo, tenendo conto però che funziona solo su IE, solo per
pochi giorni o solo se non si installa la patch, e che se esegui qualcosa
sul mio client senza che io lo autorizzo...boh, dipende da come mi trovi, se
sono gentile ti metto nella mia black list, se sono in una giornata no
scrivo alla polizia postale (anticipo Riccardo: se non ho windows ci rido
sopra...)
Se invece ti serve per una intranet: non è comunque la strada migliore
(proprio per le limitazioni descritte sopra), fatti un activex e dai i
permessi di esecuzione

 MaRoK
Ciao,
in realtà tutto dipende da come hai settato il livello di protezione su IE.
Se vai nel pannello di sicurezza, nella sezione ActiveX puoi definire 
liberamente quanto aprirti all'esterno.  Se tieni abilitata SOLO la prima 
opzione relativa ai plugin ActiveX IE è già protetto senza bisogno di 
ulteriori patch.
Il problema reale consiste nel fatto che la maggioranza degli utenti 
purtroppo ha anche la seconda opzione attivata per cui è suscettibile di 
attacchi molto pesanti dall'esterno.
Il codice tra l'altro si può generare in maniera molto più semplice 
dell'esempio postato riuscendo a lanciare da remoto qualunque 
eseguibile di cui si conosca il path su un client oppure trasferire interi 
file di testo tramite una comune form.
Adesso che la cosa è di pubblico dominio probabilmente la miglior 
soluzione consiste nel raccomandare di alzare la protezione ActiveX.
Ciao
armaged 

 Che ne pensate?
penso che se tutti si limitassero a programmare per offrire servizi, non
servirebbe per niente avere un os e un browser sicuro.

 ulteriori patch.
Sì, ho provato or ora.
Aprendo il sito, viene fuori la richiesta:
"consentire l'esecuzione di software come i controlli Active-X e Plugin?"
e, rispondendo NO, il pulsante che apre il file in effetti non funziona.
Che dire... meno male! :o)
Ciao
MaRoK

 servirebbe per niente avere un os e un browser sicuro.
Uhm... no,
oltre a quelli che programmano apposta per rompere i coglioni,
tra i vari fattori di danno aggiungerei anche i benintenzionati utenti idioti.
Per la legge di Murphy sono sempre più ingegnosi
delle precauzioni che si prendono per impedirgli di fare guai.
MaRoK

 permessi di esecuzione
Ah, se facessi una cosa del genere sulla nostra intranet
dovrei reinstallare tutto ogni tre giorni...
se li convinco a pagarmi gli straordinari lo farò! :o)
MaRoK

 Che ne pensate?
news:agn13n$mooaq$1...@ID-84454.news.dfncis.de...
-- 
     *_b_*
   *  _y_  * 
 *   Piero   *