Nochmal: Sicherheitsrisiken mit JS

[Der Martin]

Hallo,

Was hat das damit zu tun, ob der Code einsehbar vorliegt (open source), oder - durch Kompilation o.ä. - nicht (mehr)?
Dieselben Argumente gelten auch für Maschinencode - einen Disassembler wie z.B. IdaPro und das notwendige Expertenwissen vorausgesetzt.

Im Prinzip ja - aber da ist es dann einfacher, das Programm einfach auf einem isolierten Testrechner (oder einem virtuellen PC) auszuprobieren und zu protokollieren, was es denn so alles tut oder _zu tun versucht_.

Im übrigen kann man in JS selbstmodifizierenden Code schreiben - dann wirds richtig haarig... und wenn entprechende zeitliche Restriktionen benutzt werden und Serverunterstützung dazukommt - wenn man also zum debuggen nicht mehr alle Zeit der Welt hat, der Code nur in Fragmenten einsehbar ist und der Server verdacht schöpft und sich mal eben für die betreffende IP-Adresse ganz harmlos benimmt -, dann kann JS auch für Experten eine sehr, sehr schwer zu knackende Nuß abgeben.

Richtig. Höchste Zeit, einem solchen Script/Bookmarklet den Rücken zu kehren. Sorry, aber wenn ich trotz einiger Mühe noch nicht genau verstanden habe, was ein JS machen möchte, dann lasse ich es einfach nicht ausführen, dann _bleibt_ es eben gesperrt. Das gleiche gilt, wenn ich es zwar begreife, aber mit der Aktivität des Scripts nicht einverstanden bin.

Zu den Bookmarklets empfehle ich, einfach mal eine Suchmaschine anzukicken - da gibts wirklich tolle Sachen! Und die Methode ansich bietet auch jede Menge Möglichkeiten, für den Eigenbedarf kleine Helferlein zu schreiben, die im Kontext eines Dokumentes laufen.

Das ist an sich nichts neues. Vor allem das Selbst-Schreiben halte ich hier für eine interessante Geschichte.

So long,
 Martin