Webformular ausfüllen per Batchdatei

[Alex]

Hallo,

ich muss mich auf der Arbeit auf einer externen aspx-Seite einloggen, weiter geht es dann per Citrix ... fragt mich bitte nicht, was da genau passiert.

Jedenfalls hat mich gestört, dass das ganze nur im Internet Explorer läuft und ich als Standardbrowser lieber einen anderen Browser nutzen wollte. Damit ich nicht immer erst den IE starten muss und von dort die Seite aufrufen muss, habe ich mir eine kleine Batchdatei geschrieben, die das für mich übernimmt.

start iexplore.exe https://example.org/login.aspx

Jetzt würde ich noch gerne das Anmeldeformular, zumindest den Benutzernamen automatisiert füllen (da dieser aus einer unheimlich schwer zu merkenden Kombination aus Ziffern und Buchstaben besteht).

Ideal wäre es, wenn ich das Ganze auch mit der Batchdatei umsetzen könnte. Auf die Installation von Software muss ich verzichten (Dienst-PC).

Meine Ideen/Ansätze:
1. Den IE dazu zu bringen irgendwie, auf dieser Webseite immer den Benutzer automatisch einzutragen. Die Speicherung der Formulardaten scheint erstmal von der Webseite unterdrückt zu sein, aber selbst diese zu umgehen würde vermutlich nur dazu füllen, dass man zumindest die ersten Ziffern/Buchstaben eingeben muss, bis der IE die Autovervollständigung vornimmt.
2. Per Batchdatei den Benutzernamen in die Zwischenablage zu kopieren und dann manuell oder ebenfalls per Batch wieder einzufügen. Das scheitert daran, dass ich keine externen Programme verwenden darf und ich nicht weiß, wie ich das nur mit einer Batchdatei umsetzen kann.
3. Wie 2., aber statt einen konkreten Befehl abzugeben die Tastenkombination Strg+C (Kopieren) per Batch auszuführen. Das geht scheinbar in einer Batchdatei auch nicht.

Hat jemand weitere Ansätze oder Anregungen eine der vorgenannten 3 Ansätze umzusetzen? Ansatz 2 und 3 wäre von Vorteil, weil ich den gleichen Benutzernamen für eine weitere Anmeldung in Citrix benötige und da die Zwischenablage auch genutzt werden könnte.

Freundlicher Gruß
Alex

Achja: Betriebssystem ist WinXP (wird aber demnächst auf Windows 8 umgestellt).

[hotti]

hi,

Jedenfalls hat mich gestört, dass das ganze nur im Internet Explorer läuft und ich als Standardbrowser lieber einen anderen Browser nutzen wollte.

Klarer Fall: Wenn Dich an Deinem Job irgendwas stört, wende Dich an Deinen Arbeitgeber.

Das Ergebnis kannst Du dann hier posten :)

[Alex]

Klarer Fall: Wenn Dich an Deinem Job irgendwas stört, wende Dich an Deinen Arbeitgeber.

Naja, mein Arbeitgeber hat da unmittelbar keinen Einfluss, da der Login für eine Anwendung einer externen Firma ist. Ob er oder ich da jetzt mittelbar Einfluss nehmen will und der Firma aufzutragen deren Login anzupassen, nur damit die tägliche Arbeit geringfügig erleichtert wird, ist eine andere Frage. Vermutlich wird der eher sagen, wenn dich das stört, schreib dir ein kleines Script und stelle das dann allen anderen Mitarbeitern zur Verfügung ... und dann schlage ich wieder hier auf.

[M.]

Mahlzeit,

Naja, mein Arbeitgeber hat da unmittelbar keinen Einfluss, da der Login für eine Anwendung einer externen Firma ist.

Also hast du vor, deine Logindaten im Klartext auf deiner Festplatte zu speichern, damit dein Formular automatisch ausgefüllt werden kann?

Dann sollte dir zuerst klar sein, dass dich das deinen Job kosten kann und im Extremfall auch hohe Schadenersatz-Ansprüche entstehen können, wenn durch deine (grobe) Fahrlässigkeit Schaden entsteht.

Wenn du dich dann entscheidest, das trotzdem zu wollen, (obwohl offensichtlich auch technisches Grundwissen fehlt), dann kannst du z.B. das Formular nachbauen und dabei die Logindaten direkt ins Formular eintragen.
Gibt auch andere Möglichkeiten, die stark von deinem Wissen zur Materie abhängen. Dazu sind aber mehr Infos nötig.

[Alex]

Also hast du vor, deine Logindaten im Klartext auf deiner Festplatte zu speichern, damit dein Formular automatisch ausgefüllt werden kann?

Ersteres ist auch jetzt schon der Fall, nur halt in einer gesonderten Datei. Andere haben es irgendwo hingekritzelt oder sonst was, weil sich das niemand merken kann. Wenn ich mich woanders anmelde, Emailaccount, Windowslogin oder hier (es sei denn ich verwende für Login und Nachrichten unterschiedliche User) anmelde, wissen auch manche meinen Benutzernamen, nachdem ich etwas gepostet habe und deswegen kann ich trotzdem noch ruhig schlafen.

Dann sollte dir zuerst klar sein, dass dich das deinen Job kosten kann und im Extremfall auch hohe Schadenersatz-Ansprüche entstehen können, wenn durch deine (grobe) Fahrlässigkeit Schaden entsteht.

Ist mir klar.

Wenn du dich dann entscheidest, das trotzdem zu wollen, (obwohl offensichtlich auch technisches Grundwissen fehlt), dann kannst du z.B. das Formular nachbauen und dabei die Logindaten direkt ins Formular eintragen.

Will ich trotzdem. Zumindest will ich jetzt wissen, ob und wie das geht. Auch wenn ich das vlt. dann nicht umsetzen darf oder möchte.

Das Formular nachzubauen erscheint mir aufwendig und das Vorhandensein des Benutzers in der Zwischenablage bringt weitere Vorteile. Ich mächte mir eigentlich nur den manuellen Schritt des Kopierens des Strings in die Zwischenablage sparen (vorheriges Öffnen der Datei wo der drinsteht usw.).

Gibt auch andere Möglichkeiten, die stark von deinem Wissen zur Materie abhängen. Dazu sind aber mehr Infos nötig.

Welche Möglichkeiten?

Habe statt batch auch mal nach Möglichkeiten mit JS und VBA gesucht, aber auch da bin ich nicht fündig geworden.

Ich wünschte ich hätte einfach gefragt, wie man mit einem Script (batch, vbs, ...) einen String in die Zwischenablage kriegt. Naja, vlt. die Tage ein neuer Versuch.

[M.]

Mahlzeit,

Welche Möglichkeiten?

Was war an meiner Aussage "Dazu sind aber mehr Infos nötig." unklar?

Ich wünschte ich hätte einfach gefragt, wie man mit einem Script (batch, vbs, ...) einen String in die Zwischenablage kriegt. Naja, vlt. die Tage ein neuer Versuch.

Dann mach dir mal klar, dass bereits der _Versuch_, eine Sicherungseinrichtung auf einem Server zu überwinden, eine Straftat darstellt. Nein, keine Rechtsberatung, nur ein gut gemeinter Rat ;)

[Alex]

Welche Möglichkeiten?

Was war an meiner Aussage "Dazu sind aber mehr Infos nötig." unklar?

Unklar ist, welche Infos du brauchst. Aber ich gehe davon aus, dass du selbst bei weiteren Infos keine praktischen Tipps geben kannst/willst. Deshalb lass es doch einfach gut sein und such dir nen anderen Thread.

Ich wünschte ich hätte einfach gefragt, wie man mit einem Script (batch, vbs, ...) einen String in die Zwischenablage kriegt. Naja, vlt. die Tage ein neuer Versuch.

Dann mach dir mal klar, dass bereits der _Versuch_, eine Sicherungseinrichtung auf einem Server zu überwinden, eine Straftat darstellt. Nein, keine Rechtsberatung, nur ein gut gemeinter Rat ;)

Du kannst dir das Wiederholen oder Erweitern deiner Bedenken sparen. Es ist zur Kenntnis genommen und bei der Umsetzung berücksichtigt. Ich denke es wirkt sich jetzt auch ausreichend strafmildernd aus, falls es zu einer Anklage von dir wegen Mittäterschaft kommt :-P

[M.]

Mahlzeit,

Unklar ist, welche Infos du brauchst.

Vorhandene Programmiersprachen und die dazugehörigen Kenntnisse.

Aber ich gehe davon aus, dass du selbst bei weiteren Infos keine praktischen Tipps geben kannst/willst. Deshalb lass es doch einfach gut sein und such dir nen anderen Thread.

Also nur weil du den praktischen Nutzen meiner Antworten nicht erkennst, brauchst du nicht pampig zu werden. Überleg lieber mal, wieso es nicht mehr hier gibt, die dir Antwort geben. Könnte es an der mangelnden Info liegen, die von dir (nicht) gekommen ist?

Nen guten Anhaltspunkt hab ich dir ja weiter oben gegeben ;) Mit PHP und cURL solltest du dein Ziel erreichen.

[Alex]

Unklar ist, welche Infos du brauchst.

Vorhandene Programmiersprachen und die dazugehörigen Kenntnisse.

Ich hatte geschrieben, dass ich ein bißchen JS und PHP kann. "Ein bißchen" entspricht hier dem auch nicht aussagekräftigeren Grundkenntnissen.

Aber ich gehe davon aus, dass du selbst bei weiteren Infos keine praktischen Tipps geben kannst/willst. Deshalb lass es doch einfach gut sein und such dir nen anderen Thread.

Also nur weil du den praktischen Nutzen meiner Antworten nicht erkennst, brauchst du nicht pampig zu werden. Überleg lieber mal, wieso es nicht mehr hier gibt, die dir Antwort geben. Könnte es an der mangelnden Info liegen, die von dir (nicht) gekommen ist?

Es könnte auch daran liegen, dass du hier so rumgebellt hast, dass sich niemand mehr auf die Wiese traute aus Angst davor gebissen zu werden :-P

Ob das pampig ist, weiß ich nicht, aus meiner Sicht habe ich meinen Ton dem deinen angepasst. Ich fand es jedenfalls auch nicht freundlich hineinzuinterpretieren, dass ich "Zeit haben muss" und bis dahin hatte sich deine Beteiligung im Wesentlichen darauf konzentriert mein ganzes Vorgehen ins Lächerliche zu ziehen*. Es ist meine Zeit. Mein Chef. Mein Job. Ich denke ich kann durchaus gut beurteilen, wann ich meinen Chef zu beteiligen habe. Wann es lohnt in etwas Zeit zu investieren usw.. Gut deine Sicherheitsbedenken sind angebracht und deswegen habe ich ja auch recht früh eingesehen und geschrieben, dass ich dies abzuklären habe.

*Zugegeben, habe ich den Formularansatz ggf. mit cURL überlesen hab. Vlt. auch, weil ich diesen Ansatz nach Tom´s Aussage eigentlich nicht für möglich gehalten habe. Also ich dachte bei https:// dürfen die Formulardaten nur vom eigenen Server kommen. Naja, da kenn ich mich wirklich zu wenig aus. Insofern entschuldige ich mich für das Pampige, bedanke mich für deine Ansätze und möchte dir die Friedenspfeife reichen.

[Alex]

Nen guten Anhaltspunkt hab ich dir ja weiter oben gegeben ;) Mit PHP und cURL solltest du dein

cURL scheitert erstmal, weil die Seite ohne aktivierten JS nicht das Loginformular enthält :-/

[M.]

Mahlzeit,

cURL scheitert erstmal, weil die Seite ohne aktivierten JS nicht das Loginformular enthält :-/

Das wäre z.B. eine relevante Info gewesen, die die Hilfe enorm erleichtert hätte.

[Der Martin]

Hallo,

Dann mach dir mal klar, dass bereits der _Versuch_, eine Sicherungseinrichtung auf einem Server zu überwinden, eine Straftat darstellt.

abgesehen davon, dass diese Aussage nicht immer zutrifft: Das hat Alex ja auch gar nicht vor - zumindest ist es nicht das, was er beschrieben hat. Er möchte vielmehr den clientseitigen Vorgang automatisieren, der über die festgelegte Schnittstelle den Server anspricht und dessen Sicherheitsmechanismen regelkonform bedient.

Und das ist IMO keine Strafttat, sondern ein völlig normaler Vorgang.

Ciao,
 Martin

[M.]

Mahlzeit,

Er möchte vielmehr den clientseitigen Vorgang automatisieren, der über die festgelegte Schnittstelle den Server anspricht und dessen Sicherheitsmechanismen regelkonform bedient.

Ich bin kein Jurist, aber ich könnte mir vorstellen, dass bereits die Nutzung eines fremden Formulares als unerlaubtes Umgehen des Logins gewertet werden kann. Wäre sicher interessant, was ein Jurist da an Auskunft geben kann, einer da?

Und das ist IMO keine Strafttat, sondern ein völlig normaler Vorgang.

Wie gesagt, ich würde nicht drauf wetten. Aber wenn der Chef weiss, dass der OP das macht und "erlaubt", ist er in jedem Fall auf der sicheren Seite.

Grundsätzlich bin ich einfach sehr vorsichtig geworden, da bei den heutigen Urteilen der gesunde Menschenverstand regelmässig auf der Strecke bleibt

[Tom]

Hello,

Ich bin kein Jurist, aber ich könnte mir vorstellen, dass bereits die Nutzung eines fremden Formulares als unerlaubtes Umgehen des Logins gewertet werden kann. Wäre sicher interessant, was ein Jurist da an Auskunft geben kann, einer da?

Darf ich Dir eine Frage stellen?

Oh, Du hast diese Frage nicht gelistet auf der Liste der dir angenehmen Fragen? Und jetzt habe ich mich, obwohl die Syntax meiner Frage ordentlich war, strafbar gemacht?

Das fände ich aber äußerst faschistisch orientiert!

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg

[Auge]

Hallo

Er möchte vielmehr den clientseitigen Vorgang automatisieren, der über die festgelegte Schnittstelle den Server anspricht und dessen Sicherheitsmechanismen regelkonform bedient.

Ich bin kein Jurist, aber ich könnte mir vorstellen, dass bereits die Nutzung eines fremden Formulares als unerlaubtes Umgehen des Logins gewertet werden kann.

Wenn wir Erbsen zählen wollen, sei festgestellt, dass nur das dem Login vorgeschaltete Formular umgangen wird, nicht der Login an sich. Die Zugangsdaten werden weiterhin durch den Loginmechanismus (oder Loginelektrismus?) geprüft. Die Daten werden im Zweifelsfall nur auf anderem Wege an diesen übergeben.

Grundsätzlich bin ich einfach sehr vorsichtig geworden, da bei den heutigen Urteilen der gesunde Menschenverstand regelmässig auf der Strecke bleibt

Joa, passiert wohl immer und immer wieder. Vielleicht bekommen wir es heutzutage auch nur öfter mit, als es früher der Fall gewesen wäre.

Tschö, Auge

[Tom]

Hello,

Dann mach dir mal klar, dass bereits der _Versuch_, eine Sicherungseinrichtung auf einem Server zu überwinden, eine Straftat darstellt.

abgesehen davon, dass diese Aussage nicht immer zutrifft: Das hat Alex ja auch gar nicht vor - zumindest ist es nicht das, was er beschrieben hat. Er möchte vielmehr den clientseitigen Vorgang automatisieren, der über die festgelegte Schnittstelle den Server anspricht und dessen Sicherheitsmechanismen regelkonform bedient.

Und das ist IMO keine Strafttat, sondern ein völlig normaler Vorgang.

Der ist, solange kein "Daten(bank)grabbing" stattfindet, auch vollkommen legitim und legal.

Aber er ist technisch nicht mehr so einfach möglich, trotz

http://www.froglogic.com/squish/gui-testing/
http://doc.froglogic.com/squish/5.1/
http://doc.froglogic.com/squish/5.1/ugs-webnonhtml.html#

Die standardkonformen Browser lassen das üblicherweise nicht mehr zu.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg

[Auge]

Hallo

Aber er ist technisch nicht mehr so einfach möglich, trotz

http://www.froglogic.com/squish/gui-testing/
http://doc.froglogic.com/squish/5.1/
http://doc.froglogic.com/squish/5.1/ugs-webnonhtml.html#

Die standardkonformen Browser lassen das üblicherweise nicht mehr zu.

? … und zwar große und gaaaanz viele davon.

Was lassen die Browser üblicherweise nicht mehr zu? Dass sie, wie es Alex macht, über die Kommandozeile mit der aufzurufenden HTTPS-URL als Parameter gestartet werden?

Tschö, Auge

[Alex]

Jedenfalls hat mich gestört, dass das ganze nur im Internet Explorer läuft und ich als Standardbrowser lieber einen anderen Browser nutzen wollte.

Klarer Fall: Wenn Dich an Deinem Job irgendwas stört, wende Dich an Deinen Arbeitgeber.

Wenn du in deiner täglichen Arbeit auf Probleme stößt oder dich etwas stört, versuchst du die dann selbst zu lösen oder schlägst du da immer gleich bei deinem Chef auf?

[M.]

Mahlzeit,

Wenn du in deiner täglichen Arbeit auf Probleme stößt oder dich etwas stört, versuchst du die dann selbst zu lösen oder schlägst du da immer gleich bei deinem Chef auf?

Bevor ich versuchen würde, das Sicherheitssystem der Firma auszuhebeln, würde ich zu 100% erstmal den Chef fragen. Denn sonst sucht du schneller nach einem neuen Job, als du glaubst.

[Alex]

Bevor ich versuchen würde, das Sicherheitssystem der Firma auszuhebeln, würde ich zu 100% erstmal den Chef fragen. Denn sonst sucht du schneller nach einem neuen Job, als du glaubst.

Ich werde das klären, wenn ich eine Lösung habe.

[M.]

Mahlzeit,

Ich werde das klären, wenn ich eine Lösung habe.

Du machst dir erst die Arbeit (und handelst beim Testen evtl. gegen den Willen des Chefs) und klärst dann ab, ob du es darfst?

Du musst ne Menge Zeit haben :D

Wie aber gesagt, für eine Lösung ist nötig zu wissen, was du kannst, und was dein Rechner (an nötigen Programmiersprachen) kann.

Sowas geht praktisch mit jeder Sprache, die eine URL aufrufen kann.

[Tom]

Hello,

Sowas geht praktisch mit jeder Sprache, die eine URL aufrufen kann.

Aber nur dann, wenn die Fremdfirma eine schlampige Arbeit abgeliefert hat, nämlich NICHT HTTPs verwendet hat. Alternativ kann er sich einen eigenen Browser schreiben, oder einen "Hackerbrowser" verwenden, dann geht es auch mit HTTPs. Aber das darf er ja definitiv nicht.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg

[M.]

Mahlzeit,

Hello,

Sowas geht praktisch mit jeder Sprache, die eine URL aufrufen kann.

Aber nur dann, wenn die Fremdfirma eine schlampige Arbeit abgeliefert hat, nämlich NICHT HTTPs verwendet hat.

Wieso? cURL hat seit Ewigkeiten die Möglichkeit, per HTTPS Daten zu holen. Per wget gehts auch wunderbar. Nur zwei Beispiele.

Alternativ kann er sich einen eigenen Browser schreiben, oder einen "Hackerbrowser" verwenden, dann geht es auch mit HTTPs. Aber das darf er ja definitiv nicht.

Darf er nicht, ist auch völlig unnötig, s.o.

[Tom]

Hello,

Aber nur dann, wenn die Fremdfirma eine schlampige Arbeit abgeliefert hat, nämlich NICHT HTTPs verwendet hat.

Wieso? cURL hat seit Ewigkeiten die Möglichkeit, per HTTPS Daten zu holen. Per wget gehts auch wunderbar. Nur zwei Beispiele.

Und wie will er das Zertifikat dann in seinen normalen Browser reinbekommen, um weiterzuarbeiten?

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg

[Auge]

Hallo

Aber nur dann, wenn die Fremdfirma eine schlampige Arbeit abgeliefert hat, nämlich NICHT HTTPs verwendet hat.

Wieso? cURL hat seit Ewigkeiten die Möglichkeit, per HTTPS Daten zu holen. Per wget gehts auch wunderbar. Nur zwei Beispiele.

Und wie will er das Zertifikat dann in seinen normalen Browser reinbekommen, um weiterzuarbeiten?

Ähhh? Das Zertifikat ist bereits da drin. Er will ja den im Browser erfolgenden Login automatisieren und seinen momentane Lösung, die er zu erweitern wünscht, ruft genau diesen Browser auf.

Tschö, Auge

[Tom]

Hello,

Aber nur dann, wenn die Fremdfirma eine schlampige Arbeit abgeliefert hat, nämlich NICHT HTTPs verwendet hat.

Wieso? cURL hat seit Ewigkeiten die Möglichkeit, per HTTPS Daten zu holen. Per wget gehts auch wunderbar. Nur zwei Beispiele.

Und wie will er das Zertifikat dann in seinen normalen Browser reinbekommen, um weiterzuarbeiten?

Ähhh? Das Zertifikat ist bereits da drin. Er will ja den im Browser erfolgenden Login automatisieren und seinen momentane Lösung, die er zu erweitern wünscht, ruft genau diesen Browser auf.

Entschuldige, ich verstehe Dich jetzt gerade überhaupt nicht.

Wenn die Seite der Firma inclusive des Login per HTTPs ausgeliefert wird, wie will er dann mittels eines Formulars, das er von anderswo bezogen hat, das Zertifikat und den Key für die verschlüsselte Übertragung des Logins mit einem standardkonfomen Browser in sein Formular reinbekommen?

Oder, wie will er es von einer eigenen Login-Lösung mit cURL oder sonstigen Techniken in die übrigen Formulare hineinbekommen, die er direkt von der Original-URL holt?

Wenn ich mich hier irren sollte, dann bau doch bitte mal ein kleines Beispiel auf. Ich beteilige mich dann gerne am Versuch. Das interessiert nämlich jetzt noch mehr Leute.

Hier sitzen jedenfalls gerade drei Leute mit Riesenfragezeichen in den Augen vor dem Bildschirm.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg

[M.]

Mahlzeit,

Oder, wie will er es von einer eigenen Login-Lösung mit cURL oder sonstigen Techniken in die übrigen Formulare hineinbekommen, die er direkt von der Original-URL holt?

Das ist doch gar nicht nötig.
Formular per cURL abholen, automatisch ausfüllen und absenden. Ab dem Zeitpunkt wird der gleiche Content zurückgeliefert, der nach einem normalen Login auch geliefert wird.

[Auge]

Hallo

Hello,

Aber nur dann, wenn die Fremdfirma eine schlampige Arbeit abgeliefert hat, nämlich NICHT HTTPs verwendet hat.

Wieso? cURL hat seit Ewigkeiten die Möglichkeit, per HTTPS Daten zu holen. Per wget gehts auch wunderbar. Nur zwei Beispiele.

Und wie will er das Zertifikat dann in seinen normalen Browser reinbekommen, um weiterzuarbeiten?

Ähhh? Das Zertifikat ist bereits da drin. Er will ja den im Browser erfolgenden Login automatisieren und seinen momentane Lösung, die er zu erweitern wünscht, ruft genau diesen Browser auf.

Entschuldige, ich verstehe Dich jetzt gerade überhaupt nicht.

Alex schreib im Eröffnungsposting, dass er sich über den IE in einem über Citrix erreichbaren System eines Kunden/Auftraggebers einloggt. Den Login hat er mit einem Batch, der den IE mit der Loginmaske aufruft, teilautomatisiert.

Es wird also bereits das Programm aufgerufen, dem die Zertifikate bekannt sind.

Hier sitzen jedenfalls gerade drei Leute mit Riesenfragezeichen in den Augen vor dem Bildschirm.

Die habe nun ich an dieser Stelle.

Was er als nächstes erreichen möchte, ist, das dortige Formular vorauszufüllen, was die Diskussion über gespeicherte Zugangsdaten und die eventuell gangbaren Wege entfachte.

Tschö, Auge

[Auge]

Hallo

Hier sitzen jedenfalls gerade drei Leute mit Riesenfragezeichen in den Augen vor dem Bildschirm.

Die habe nun ich an dieser Stelle.

Herrje, andersrum!

Hier sitzen jedenfalls gerade drei Leute mit Riesenfragezeichen in den Augen vor dem Bildschirm.

Die habe nun ich an dieser Stelle.

Tschö, Auge

[Alex]

Alex schreib im Eröffnungsposting, dass er sich über den IE in einem über Citrix erreichbaren System eines Kunden/Auftraggebers einloggt. Den Login hat er mit einem Batch, der den IE mit der Loginmaske aufruft, teilautomatisiert.

Was er als nächstes erreichen möchte, ist, das dortige Formular vorauszufüllen, was die Diskussion über gespeicherte Zugangsdaten und die eventuell gangbaren Wege entfachte.

Sehr schön zusammengefasst, liest sich wesentlich einfacher als meine umständliche Beschreibung, was ich eigentlich will :-)

[Alex]

Du machst dir erst die Arbeit (und handelst beim Testen evtl. gegen den Willen des Chefs) und klärst dann ab, ob du es darfst?

Du musst ne Menge Zeit haben :D

Zeit müssen die Leute haben, die sich über die Zeit anderer Gedanken machen. Ich will einmalig ein wenig Zeit investieren, um langfristig mir und weiteren Kollegen Zeit einzusparen. Das Mit- und Vorausdenken ist bei uns in der Firma durchaus gewünscht.

Ich teste meist auf Testwiesen, das ist bei uns üblich.

Das man sich bevor man einen Vorschlag einbringt, über die Umsetzungsmöglichkeiten informiert ist bei uns auch üblich.

Wie aber gesagt, für eine Lösung ist nötig zu wissen, was du kannst, und was dein Rechner (an nötigen Programmiersprachen) kann.

Ich habe einen Windows XP-Rechner* und ich kann z.B. Fahrradfahren. Ein bißchen PHP und JS kann ich auch; aber nicht so gut wie Fahrradfahren.

*Bevor all die Sicherheitsexperten jetzt wieder losschießen: Dafür bin ich nicht verantwortlich!

[M.]

Mahlzeit,

Ich habe einen Windows XP-Rechner* und ich kann z.B. Fahrradfahren. Ein bißchen PHP und JS kann ich auch; aber nicht so gut wie Fahrradfahren.

Dann dürfte eine Lösung per PHP und cURL praktikabel sein. Du kannst per cURL die Seite holen, manipulierst sie, wie du sie brauchst und schickst sie an den Browser.

[Alex]

Ich habe einen Windows XP-Rechner* und ich kann z.B. Fahrradfahren. Ein bißchen PHP und JS kann ich auch; aber nicht so gut wie Fahrradfahren.

Dann dürfte eine Lösung per PHP und cURL praktikabel sein. Du kannst per cURL die Seite holen, manipulierst sie, wie du sie brauchst und schickst sie an den Browser.

Nunja für PHP müsste ich meinen privaten Server nutzen und da hätte ich wirklich Sicherheitsbedenken. Grundsätzlich gefällt mir der Ansatz aber noch besser als mit dem lokalen Formular, da ich immer eine aktuelle Fassung hole und so bei Änderungen wirklich nur Probleme bekomme, wenn der manipulierte Bereich betroffen ist (Bspw. Umbennenungn des Inputfeldes). Beim lokalen Formular kann es halt auch bei Änderungen an zwar nicht manipulierten Bereichen, aber in der Kopie abweichenden Stellen zum Original kommen.

Naja, ich denke erstmal komme ich mit der lokalen Kopie des Formulares klar.

Danke.

[hotti]

Jedenfalls hat mich gestört, dass das ganze nur im Internet Explorer läuft und ich als Standardbrowser lieber einen anderen Browser nutzen wollte.

Klarer Fall: Wenn Dich an Deinem Job irgendwas stört, wende Dich an Deinen Arbeitgeber.

Wenn du in deiner täglichen Arbeit auf Probleme stößt oder dich etwas stört, versuchst du die dann selbst zu lösen oder schlägst du da immer gleich bei deinem Chef auf?

Richtige Probleme sehen anders aus, Du könntest Folgendes machen:

Lege in Deinem Benutzerprofil (auf dem AP-Rechner) eine lokale Kopie des Login-Formulars an (kein Link sondern eine richtige Kopie als HTML-Datei). Die bearbeitest Du mit einem Editor und änderst zunächst das action-Attribut so dass da der Full qualified URL drinsteht. Login testen. Es könnte Probleme geben, wenn irgendwelche Same-Origin-Policies zuschlagen, wenn Ajax im Spiel ist. Wenn mit der lokalen Kopie das Login funktioniert, nimm die Datei erneut in den Editor, nimm das Attribut 'password' vom Password-Input-field und trage Benutzername + Passwort als value in die entsprechenden Eingabefelder ein.

Beachte: Beim Login darf Dir keiner über die Schulter gucken.

Es ist und bleibt jedoch ein schlampiger Umgang mit sicherheitsrelevanten Daten, wenn Du sowas machst, für einen Firmen-AP ist das nicht zu empfehlen.

Andererseits sind mit geeigneten Script- oder Programmiersprachen Vollautomatische Logins durchaus möglich und können auch fürs Unternehmen einen (zumindest zeitlichen) Gewinn bringen. Das wäre schon eher mal ein Motiv, beim Chef aufzuschlagen.

MfG

[Alex]

Richtige Probleme sehen anders aus, Du könntest Folgendes machen:

Ja klar, aber das manuelle Aufrufen des IE, öffnen der URL über Favoriten o.ä., Eingabe Benutzer und Passwort. Das sind schon ungemessene 10-15 Sekunden, die ein Kunde schonmal weniger warten müsste. Das Ganze dann mal ca. 10 Aufrufe pro Mitarbeiter am Tag und ca. 20 Mitarbeiter und 200 Arbeitstagen. Da summmiert sich schon was auf.

Lege in Deinem Benutzerprofil (auf dem AP-Rechner) eine lokale Kopie des Login-Formulars an (kein Link sondern eine richtige Kopie als HTML-Datei). Die bearbeitest Du mit einem Editor und änderst zunächst das action-Attribut so dass da der Full qualified URL drinsteht. Login testen. Es könnte Probleme geben, wenn irgendwelche Same-Origin-Policies zuschlagen, wenn Ajax im Spiel ist. Wenn mit der lokalen Kopie das Login funktioniert, nimm die Datei erneut in den Editor, nimm das Attribut 'password' vom Password-Input-field und trage Benutzername + Passwort als value in die entsprechenden Eingabefelder ein.

Das werde ich versuchen. Passworteingabe würde ich weiterhin dem Benutzer überlassen.

Beachte: Beim Login darf Dir keiner über die Schulter gucken.

Es ist und bleibt jedoch ein schlampiger Umgang mit sicherheitsrelevanten Daten, wenn Du sowas machst, für einen Firmen-AP ist das nicht zu empfehlen.

Ja, vielen Dank für den Hinweis. Es ist wirklich angekommen und ich werde das abklären.

Andererseits sind mit geeigneten Script- oder Programmiersprachen Vollautomatische Logins durchaus möglich und können auch fürs Unternehmen einen (zumindest zeitlichen) Gewinn bringen. Das wäre schon eher mal ein Motiv, beim Chef aufzuschlagen.

Wünschenswert wäre flächendeckend ein Single-Sign-On für alle Anwendung. Praktisch ist es aber mittlerweile so, dass man sich etliche Benutzer und Passwörter merken muss. Bei besonders geheimen/brisanten Daten/Anwendungen teilweise sinnvoll, tlw. m. E. aber auch vollkommen überflüssig und die tägliche Arbeit nur erschwerend.

Beispiel:
Ich logge mich morgens an meinem PC ein. Dann startet Outlook und dort muss mich erneut einloggen. Dann öffne ich die besagte Anwendung => Login. Dann öffne ich ein weitere lokale Anwendung => Login. Irgendwann ist doch mal gut. Je mehr Logins es gibt, umso wahrscheinlicher wird es doch, dass man sich das irgendwo lokal ablegt oder aufschreibt, weil man sich das alles nicht mehr merken kann.

Wenn man bei mir Zuhause die Haustür aufbricht, kann man jedenfalls erstmal in jedem weiteren Raum, da ich nicht jedes Zimmer einzeln abschließe. Das wäre vlt. etwas sicherer, aber unpraktisch, teuer, wenn ich den Schlüsselbund mal verliere und vlt. auch wieder unsicher, wenn es mal brennt und ich auf der Flucht erstmal etliche Türen aufschließen muss. Wirklich wichtige/brisante Sachen, ja die kann und sollte man vlt. nochmal in einem Tresor sichern, aber da reicht für mich ein relativ kleines Exemplar.

[Alex]

Lege in Deinem Benutzerprofil (auf dem AP-Rechner) eine lokale Kopie des Login-Formulars an (kein Link sondern eine richtige Kopie als HTML-Datei). Die bearbeitest Du mit einem Editor und änderst zunächst das action-Attribut so dass da der Full qualified URL drinsteht. Login testen. Es könnte Probleme geben, wenn irgendwelche Same-Origin-Policies zuschlagen, wenn Ajax im Spiel ist. Wenn mit der lokalen Kopie das Login funktioniert, nimm die Datei erneut in den Editor, nimm das Attribut 'password' vom Password-Input-field und trage Benutzername + Passwort als value in die entsprechenden Eingabefelder ein.

So hat es funktioniert. Ich habe nun eine lokale Datei (mit vorausgefülltem Benutzer), welche über eine Batchdatei (da der IE nicht der Standardbrowser ist) im IE aufgerufen wird. Nun ist nur noch das Passwort manuell zu ergänzen und der Login funktioniert.

Vielen lieben Dank :)

[Tom]

Hello,

So hat es funktioniert. Ich habe nun eine lokale Datei (mit vorausgefülltem Benutzer), welche über eine Batchdatei (da der IE nicht der Standardbrowser ist) im IE aufgerufen wird. Nun ist nur noch das Passwort manuell zu ergänzen und der Login funktioniert.

Leider hast Du immer noch die Frage offen gelassen, ob die URL mit HTTPs arbeitet.
Aber, da es funktioniert, gehe ich davon aus, dass sie das nicht tut.

Und wenn doch, dann verstehe ich es nicht, wie das mit einem standardkonfomen Browser funktionieren soll.

Selbst mit Squish funktioniert sowas nicht mehr.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg

[M.]

Mahlzeit,

Und wenn doch, dann verstehe ich es nicht, wie das mit einem standardkonfomen Browser funktionieren soll.

Hast du noch nie mit einer lokalen Seite an einen entfernten Server Daten geschickt?
Oder anders, woher soll der Server denn wissen, dass das Formular lokal gespeichert ist und nicht von ihm ausgeliefert wurde?

Würde mich wundern, wenn hier ein Usertoken _vor_ dem Login verwendet wird.

[Tom]

Hello,

Und wenn doch, dann verstehe ich es nicht, wie das mit einem standardkonfomen Browser funktionieren soll.

Hast du noch nie mit einer lokalen Seite an einen entfernten Server Daten geschickt?
Oder anders, woher soll der Server denn wissen, dass das Formular lokal gespeichert ist und nicht von ihm ausgeliefert wurde?

Würde mich wundern, wenn hier ein Usertoken _vor_ dem Login verwendet wird.

Hast Du dich schon mal bei einem WPA2-geschützten WLAN angemeldet?
Woher soll der Router denn wissen, dass Du sich noch nicht angemeldet hast?

Zur Bearbeitung des Requests unter HTTPs benötigt der Server bereits die verschlüsselten Daten.

Du musst dazu die Seite schon vom richtigen Server abrufen und dann hast Du in einem standardkonfomen Browser keine Chance mehr, daran etwas zu manipulieren.

Ob das noch möglich war, als es die Same Origin Policies noch nicht gab, vermag ich nicht mehr zu beantworten.

Mit einem Proxy würde es bestimmt gehen, aber das war nicht die Aufgabenstellung.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg

[Alex]

Hello Tom!

Leider hast Du immer noch die Frage offen gelassen, ob die URL mit HTTPs arbeitet.
Aber, da es funktioniert, gehe ich davon aus, dass sie das nicht tut.

Die Frage war schon in meinem Ursprungsthread beantwortet:

start iexplore.exe https://example.org/login.aspx

http_s_ :-)

[Tom]

Hello Alex,

Leider hast Du immer noch die Frage offen gelassen, ob die URL mit HTTPs arbeitet.
Aber, da es funktioniert, gehe ich davon aus, dass sie das nicht tut.

Die Frage war schon in meinem Ursprungsthread beantwortet:

start iexplore.exe https://example.org/login.aspx

Ok, das hatte ich dann irgendwie übesehen.
Aber dann kommt das Login-Formlar nebst Zertifikat vom Origin-Server.

Ich verstehe jetzt nicht, wie man diesem ein Formular aus einer anderen Quelle unterjubeln will. Das kommt dann ja nicht aus der Origin-Quelle und kann die Bedingungen für die anschließende HTTPS-Kommunikation daher nicht erfüllen.

Irgendetwas an Deiner Darstellung stimmt hier noch nicht!

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg

[Der Martin]

Hallo Tom,

Die Frage war schon in meinem Ursprungsthread beantwortet:

start iexplore.exe https://example.org/login.aspx
Ok, das hatte ich dann irgendwie übesehen.
Aber dann kommt das Login-Formlar nebst Zertifikat vom Origin-Server.

Ich verstehe jetzt nicht, wie man diesem ein Formular aus einer anderen Quelle unterjubeln will. Das kommt dann ja nicht aus der Origin-Quelle und kann die Bedingungen für die anschließende HTTPS-Kommunikation daher nicht erfüllen.

das ist auch gar nicht nötig. Denn der Abruf des "leeren" Formulars und das Absenden des ausgefüllten Formulars sind zwei HTTP-Requests, die eigentlich nichts miteinander zu tun haben. Es ist überhaupt kein Problem, das Formular von Host A zu laden (oder aus dem lokalen Dateisystem), und dann die Formulardaten an Host B zu senden.
Dann ist eben der anfängliche Formularabruf nicht gesichert, but so what?

Irgendetwas an Deiner Darstellung stimmt hier noch nicht!

Ich kann nichts Widersprüchliches entdecken.
Verwechselst du hier vielleicht die Verbindungssicherheit von HTTPS mit der Same Origin Policy von Javascript?

Ciao,
 Martin

[Tom]

Hello Martin,

Irgendetwas an Deiner Darstellung stimmt hier noch nicht!

Ich kann nichts Widersprüchliches entdecken.
Verwechselst du hier vielleicht die Verbindungssicherheit von HTTPS mit der Same Origin Policy von Javascript?

Ich verwechsel da nichts, obwohl auch die Same Origin Policy von JavaScript zum Tragen kommen könnte, wenn man das Einsetzen der Were in die Original-Login-Seite mittels einer lokalen Userseite versuchen würde.

Aber erzähl mir doch bitte mal, in welcher Schicht die HTTPS-Verbindung eines Browsers zustande kommt und wie lange die gilt und wie sie in die einzelnen "Seiten" vererbt wird.

Hast Du den Eingriff in eine HTTPS-Verbindung mittles lokaler Ressource mal ausprobiert?
Die Verbindung besteht zwar zwischen dem lokalen Browser und dem entfernten Server, aber die lokale Seite ist kein (Kind-)Objekt der vom entfernten Server beschafften Ressource, auch wenn die Ziel-URLs übereinstimmen.

Wenn da ein Eingriff einfach per URL möglich wäre, könnte jeder lokale Sniffer in die HTTPS-Verbindung des Browsers eingreifen. Das wäre ja grausam!

Ich hatte doch schon vorgeschlagen, dass das mal jemand als Beispiel aufbereitet, wenn es so einfach ist. Das wäre für mich zumindest ein abschreckendes Beispiel, wenn es funktionieren würde.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg

[Mitleser]

Ich verwechsel da nichts, [blah blah...]

  
<!DOCTYPE HTML>  
<html>  
<head>  
<title>Hui</title>  
</head>  
<body>  
<form method="GET" action="https://www.google.de/">  
<input name="q" type="hidden" value="hallo">  
<input type="submit" value="tu es">  
</form>  
</body>  
</html>  

[Der Martin]

Hi,

Ich kann nichts Widersprüchliches entdecken.
Verwechselst du hier vielleicht die Verbindungssicherheit von HTTPS mit der Same Origin Policy von Javascript?
Aber erzähl mir doch bitte mal, in welcher Schicht die HTTPS-Verbindung eines Browsers zustande kommt und wie lange die gilt und wie sie in die einzelnen "Seiten" vererbt wird.

genaugenommen ist HTTPS kein eigenständiges Protokoll, sondern "HTTP über SSL", oder "HTTP über TLS".

Das heißt, der Browser baut zunächst eine SSL/TLS-Verbindung zum Server auf und spricht dann über diesen Kanal ganz normales HTTP. Ist der HTTP-Zyklus abgeschlossen (Request und Response abgehakt, oder Timeout), dann wird auch die SSL/TLS-Verbindung wieder ab- und beim nächsten Request wieder aufgebaut. Okay, bei kurzfristig aufeinanderfolgenden Requests wird nicht jedesmal die Verbindung neu aufgebaut, aber das ist bereits ein Feature des darunterliegenden HTTP 1.1, das heutzutage meist verwendet wird.

Bei Requests, die zeitlich weit auseinanderliegen können (lies: 10 Sekunden, 30 Sekunden, oder gar noch mehr), so wie es beim Formularabruf und dem danach folgenden Formularwegschicken der Fall ist, sind das aber mit Sicherheit zwei vollkommen getrennte Requests und damit auch zwei getrennte SSL/TLS-Transaktionen.
Es kann höchstens sein, dass der Browser beim zweiten Request nicht erneut das Zeritfikat abruft und überprüft.

Hast Du den Eingriff in eine HTTPS-Verbindung mittles lokaler Ressource mal ausprobiert?

Nein. Es findet kein "Eingriff in eine HTTPS-Verbindung" statt. Es gibt zwei Requests, die aus protokollarischer Sicht nichts miteinander zu tun haben. Der einzige, der einen Zusammenhang sieht, ist der Nutzer.
Und genau deswegen ist es völlig schnurz, von wo denn das Formular geladen wurde.

Die Verbindung besteht zwar zwischen dem lokalen Browser und dem entfernten Server, aber die lokale Seite ist kein (Kind-)Objekt der vom entfernten Server beschafften Ressource, auch wenn die Ziel-URLs übereinstimmen.

Nochmal: Es gibt zwei Requests. Die Tatsache, dass sie unter Umständen (nämlich wenn sie sehr kurz aufeinanderfolgen) dieselbe SSL/TLS-Verbindung nutzen könnten, ist irrelevant.

Ich hatte doch schon vorgeschlagen, dass das mal jemand als Beispiel aufbereitet, wenn es so einfach ist. Das wäre für mich zumindest ein abschreckendes Beispiel, wenn es funktionieren würde.

Da ist nichts Abschreckendes dran. Es ist ungefähr so, als ob ich das Antragsformular für eine Kur nicht direkt bei meiner Krankenkasse anfordere, sondern stattdessen von einem Kollegen kopiere, der das schon gemacht hat. An der Rechtmäßigkeit, Korrektheit und Vertraulichkeit des Antrags ändert das nichts.

Ciao,
 Martin

[M.]

Mahlzeit,

na, lächeln deine Kollegen noch oder liegen sie schon unterm Tisch anhand deiner absurditäten?

[Tom]

Hello,

Ideal wäre es, wenn ich das Ganze auch mit der Batchdatei umsetzen könnte. Auf die Installation von Software muss ich verzichten (Dienst-PC).

Siehe die rechtlichen Bedenken der Anderen.

Aber sonst würde mir spontan XSS einfallen, was M. ja auch schon angedeutet hat. Also Formular nachbauen, anstelle noch <input type="text"> und <input type="password"> dann z.B. <input type="hidden"> nehmen.

Und hta käme noch in Frage. http://de.wikipedia.org/wiki/HTML-Applikation

Da das externe Unternehmen aber eure Daten sichlerich nicht per HTTP, sondern per HTTPS durch die Gegend schicken wird, geht das alles nicht. Die sind ja mindestens mitverantwortlich, dass Du manipulieren könntest.

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg

[Kay]

Jetzt würde ich noch gerne das Anmeldeformular, zumindest den Benutzernamen automatisiert füllen (da dieser aus einer unheimlich schwer zu merkenden Kombination aus Ziffern und Buchstaben besteht).

Für sowas benutze ich Keepass2 portable (Ich hoffe du darfst einen USB-Stick benutzen).

Habe mich lange dagegen gewehrt. Aber bei ca. 400 bis 800 verschieden Accounts, die teilweise nur sporadisch genutzt werden, eine enorme Zeiteinsparung. Selbst die ganzen su Wechsel auf den Linux-Servern mache ich so.

Sofern man auch Programme installieren dürfte, AutoIt und AutoHotKey ansehen.