Użytkownik "Konrad Kosmowski" <konrad@kosmosik.net> napisał w wiadomości
news:20070331011047.2cc7cc90@localhost.localdomain...
> ** sTav wrote:
>
>>> Konkretnie to luka dotyczy silnika mshtml.dll i tego w jaki sposób
>>> MS dodał idiotyczne niestandardowe rozszerzenia do CSS. Typu np.:
>
>>> <body style="cursor:url('http://www.hack.com/cursor.ani')">
>
>>> I MSIE to rozkosznie załaduje +błąd w obsłudze kursora i gotowe...
>>> Więc wyłączając obsługę *.ani w powłoce niczego jednak nie
>>> osiągniemy. :\
>
>>> Rozwiązaniem w takim razie jest nie używać mshtml.dll co jest sprawą
>>> nieco problematyczną z uwagi na to, że w ogóle wiele programów z
>>> tego korzysta, często możemy o tym nie wiedzieć. :\
>
>> IMO: Wystarczy zablokować skryptem w proxyautoconfig: shExpMatch(url,
>> "*.ani")
>
> No właśnie ciężko powiedzieć. MSIE może też starać się wykryć plik po
> typie MIME zapodanym przez serwer, wtedy Twoja regułka nic nie da bo
> URL pliku może być i http://www.hack.com/cursor.dupa...
no i co z tego, najwyżej się ściągnie do Temporery , - bo niby co ma
otworzyć czy uruchomić plik *.dupa?...
> *Ale* to nadal
> tylko próba obejścia - bo co w momencie kiedy to przyjdzie pocztą?
ponownie pytam, co z tego?
skoro url *.ani jest wysyłany do blackhole, a *.dupa trzeba by jakoś
uruchomić żeby zrobić szkodę.
> Co w momencie kiedy to przyjdzie
> programem, który używa mshtml.dll, ale się tego zupełnie nie
> spodziewasz, że to robi?
od kiedy mshtml.dll otwiera pliki *.*?
-- Pozdrowienia! /-/. Mariusz *://marmro.homeip.net/Received on Sat Mar 31 02:40:09 2007
To archiwum zostało wygenerowane przez hypermail 2.1.8 : Sat 31 Mar 2007 - 02:42:05 MET DST