Sicher oder doch nicht!

[hotti]

Hi,

»» Ne Seite aufrufen und schwupps ist
»» 'c:/Dokumente und Einstellungen/../administrator.wab'
»» (Windows-Adress-Buch) auf dem Server gelandet. Ja, das geht.´
»»

und wie sollte das gehen?

Ähm, ja, ich bin noch nicht dazugekommen, das zu testen. Auf jeden Fall ist ein FileUpload mit Ajax möglich, wobei der lokale Pfad fest kodiert werden kann. Die erste Erkenntnis daraus ist die, dass es grundsätzlich schlecht ist, mit einem bekannten Benutzernamen (Administrator) herumzusurfen und ein OS unter dem Browser zu haben, wo die Pfade zu beliebten Dateien wie .pst, .eml, .wab im Default bekannt sind (Dokumente und Einstellungen...). Daher gibt es ja schonmal die Empfehlung, unter einem anderen Benutzernamen (rumpelstilz) zu surfen.

Hotte