Möglichkeiten von JScript

[Vinzenz Mai]

Hallo Mathias,

Allerdings ist es wahrscheinlich mit JScript (der Javascript-Implementierung des IE) in Verbindung mit ActiveX möglich, also einer wahrhaft bösen Kombination, mit der ein IE wirklich alle Risiko-Scheunentore weit offenstehen hat.

Ehrlich gesagt finde ich solche Kommentare mittlerweile peinlich, zeugen sie denn von einem Halbwissen, das es sich gemütlich macht. Aussagen über die konkreten Sicherheitsprobleme werden nie gemacht. Trotzdem reden alle davon, dass sowas »wahrscheinlich« möglich ist, klar, selbstverständlich, wegen den Scheunentoren, wissen wir ja alle. Gut, man kann natürlich bei diesem Laienverständnis stehenbleiben. Aber wo sind die JScript- und ActiveX-Spezialisten, die wirklich mehr als diese generischen Aussagen drauf haben? Da hat dieses Forum einfach eine Lücke, niemand scheint sich da wirklich auszukennen.

Ich habe den Code aus folgendem Archivposting

<zitat>
    <script language="VBScript">
        public function getUser(id)
            Set sysinfo = CreateObject("WScript.Network")
            window.document.FormName.User.value = sysinfo.username
        end function
    </script>
</zitat>

leicht modifiziert erneut in folgender Umgebung getestet:

- IE 6 SP2 unter Windows XP SP2 mit allen Patches,
    Standardkonfiguration, d.h. _keine_ Änderungen meinerseits.

- Zugriff über lokalen Testserver im LAN (Internetzone)
    Ergebnis: "Fehler auf Seite", da

CreateObject("WScript.Network")

fehlschlägt.

- Seite der lokalen Intranetzone hinzugefügt, gleiche Fehlermeldung

- Seite der Liste der "Vertrauenswürdigen Sites" hinzugefügt.
    Nun erscheint die Meldung

"Ein ActiveX-Steuerelement dieser Seite ist möglicherweise in
       Wechselwirkung mit anderen Elementen dieser Seite nicht sicher.
       Möchten Sie dies zulassen?"

Klicke ich auf Ja, so wird mein Anmeldename angezeigt.

- Sicherheitseinstellungen dieser Zone geändert:
    ActiveX-Steuerelemente initialisieren und ausführen, die nicht sicher sind
    [x] Aktivieren
    [ ] Deaktivieren
    [ ] Eingabeaufforderung

wobei letztere Einstellung Standard in der Sicherheitsstufe "Sehr niedrig" ist.

Sicherlich könnte man dieses Verhalten mit den diversen IE-Versionen, mit den verschiedenen ServicePacks unter existierenden Windowsversionen untersuchen. Ist mir, ehrlich gesagt, zuviel Arbeit. Deswegen habe ich eine Beispielseite bei Funpic hochgeladen. Feedback mit genauer Angabe von

- Betriebssystem (ggf. ServicePack)
    - Internet Explorer (Version, SP, ggf. Patches)

ist willkommen :-) Ich habe keine Ahnung, ob es wirklich möglich ist, den ProductKey zu ermitteln. Soweit ich weiß, wird aus dem ProductKey eine ProduktId erzeugt, die z.B. in den Systemeigenschaften auf der Registerkarte "Allgemein" nachgelesen werden kann und

in der Registry (Windows XP) unter

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion

im Wert ProductId zu finden ist. Die ProductId kann unter den gleichen Voraussetzungen wie oben angeführt ausgelesen werden. Ich gehe davon aus, dass sie in verschiedenen Windows-Versionen verschieden abgelegt ist, das ist im Skript meiner Testseite noch nicht berücksichtigt.

Freundliche Grüße

Vinzenz