Un peu plus subtil que les MP3 exécutables et autres fausses démos...
Une faille de sécurité existe dans Safari. Une page Web peut, via
l'application Visualisation d'Aide, commander l'exécution d'un script.
Il faut que le script soit présent sur l'ordinateur et que son
emplacement soit connu, ce qui peut être accompli s'il est placé sur une
image disque et que Safari est configuré pour la monter automatiquement
(configuration par défaut).
j'ai lancé Safari en user et group nobody*, et j'ai été télécharger la PoC : TextEdit s'est lancé sous mon compte utilisateur courant. N'aurait il pas du se lancer sous le compte nobody ??
Ce n'est pas Safari lui-même qui lance l'appli, il délègue ça au Windows Server, et donc le process appartient au compte qui a lancé le Windows Server.
ha ouais... c'est tres tres tres con quand meme. Bravo le cloisonnement et la séparation des privilèges.
patpro
-- je cherche un poste d'admin UNIX/Mac http://patpro.net/cv.php
In article <Patrick.Stadelmann-674296.20254920052004@individual.net>,
Patrick Stadelmann <Patrick.Stadelmann@unine.ch> wrote:
In article <patpro-C30119.13094620052004@individual.net>,
patpro ~ patrick proniewski <patpro@boleskine.patpro.net> wrote:
j'ai lancé Safari en user et group nobody*, et j'ai été télécharger la
PoC : TextEdit s'est lancé sous mon compte utilisateur courant.
N'aurait il pas du se lancer sous le compte nobody ??
Ce n'est pas Safari lui-même qui lance l'appli, il délègue ça au Windows
Server, et donc le process appartient au compte qui a lancé le Windows
Server.
ha ouais... c'est tres tres tres con quand meme. Bravo le cloisonnement
et la séparation des privilèges.
patpro
--
je cherche un poste d'admin UNIX/Mac
http://patpro.net/cv.php
j'ai lancé Safari en user et group nobody*, et j'ai été télécharger la PoC : TextEdit s'est lancé sous mon compte utilisateur courant. N'aurait il pas du se lancer sous le compte nobody ??
Ce n'est pas Safari lui-même qui lance l'appli, il délègue ça au Windows Server, et donc le process appartient au compte qui a lancé le Windows Server.
ha ouais... c'est tres tres tres con quand meme. Bravo le cloisonnement et la séparation des privilèges.
patpro
-- je cherche un poste d'admin UNIX/Mac http://patpro.net/cv.php
fra
Fleuger wrote:
Dans MoreInternet, j'ai redirigé help vers stickies avec le messaage : Attention, appel vers help détecté. Est-ce que c'est bon ?
Voui ça devrait. Teste avec le lien de Benoit : <http://bronosky.com/pub/AppleScript.htm> -- Fra
Fleuger <fleurot@entrop.fr.fm> wrote:
Dans MoreInternet, j'ai redirigé help vers stickies avec le messaage :
Attention, appel vers help détecté.
Est-ce que c'est bon ?
Voui ça devrait. Teste avec le lien de Benoit :
<http://bronosky.com/pub/AppleScript.htm>
--
Fra
Safari ne fait que son boulot : le protocole help: est défini au niveau système comme étant géré par l'Aide, donc il lance l'aide.
Bein il devrait être plus discriminant. -- Fra
fra
Patrick Stadelmann wrote:
parce que l'aide sait que le protocole help: c'est pour lui, sans avoir besoin du système pour interpréter l'URL. Par contre, ce même lien collé dans Safari ouvre l'application de remplacement.
Impec! C'est vraiment Safari qui s'occupe de ce qu'il ne devrait pas! -- Fra
Patrick Stadelmann <Patrick.Stadelmann@unine.ch> wrote:
parce que l'aide
sait que le protocole help: c'est pour lui, sans avoir besoin du système
pour interpréter l'URL. Par contre, ce même lien collé dans Safari ouvre
l'application de remplacement.
Impec! C'est vraiment Safari qui s'occupe de ce qu'il ne devrait pas!
--
Fra
parce que l'aide sait que le protocole help: c'est pour lui, sans avoir besoin du système pour interpréter l'URL. Par contre, ce même lien collé dans Safari ouvre l'application de remplacement.
Impec! C'est vraiment Safari qui s'occupe de ce qu'il ne devrait pas! -- Fra
benoit.sansspam
Fra wrote:
Impec! C'est vraiment Safari qui s'occupe de ce qu'il ne devrait pas!
Ce n'est pas Safari. Je crois tout simplement qu'Apple a utilisé le moteur de Safari pour pour l'Aide et la boucle est bouclée. Un lien help: va pointer vers une autre page help: comme une page de l'aide d'Apple depuis l'aide d'une application quelconque.
De même le fait de pouvoir lancer des scripts permet aux développeurs d'aider les gens en pilotant les applications depuis l'aide, genre « si vous cliquer sur ce bouton (icone du bouton) vous aurez le résultat que vous cherchiez, voulez-vous que je le fasse ? » Si l'utilisateur faisant appelle à l'aide clique sur oui l'aide clique sur bouton via AppleScript. En fait cela permet de jouer aussi des préférences de l'appli ou de lancer des choses en aidant l'utilisateur.
Donc ne râler après Apple, cela fait plusieurs années que cela était dispo et il a fallu ce temps pour que quelqu'un trouve le moyen d'en faire un vers limité dans ses effets. Apple saura rapidement limiter les effets mais il faut choisir entre offrir des outils qui permmettent aux développeurs d'aider les utilisateurs néophytes à utiliser simplement une machine ou faire du Mac un truc réservé à une élite Bac+7 ;-)
Je suis sûr qu'ils vont faire en sorte que seul l'application Aide ne sache envoyer des url help ou du moins que Safari ne sache plus les décoder dans du html.
-- Benoît Leraillez
La douleur des autres est tout à fait supportable, hors les cris.
Fra <fra@alussinan.org> wrote:
Impec! C'est vraiment Safari qui s'occupe de ce qu'il ne devrait pas!
Ce n'est pas Safari. Je crois tout simplement qu'Apple a utilisé le
moteur de Safari pour pour l'Aide et la boucle est bouclée. Un lien
help: va pointer vers une autre page help: comme une page de l'aide
d'Apple depuis l'aide d'une application quelconque.
De même le fait de pouvoir lancer des scripts permet aux développeurs
d'aider les gens en pilotant les applications depuis l'aide, genre « si
vous cliquer sur ce bouton (icone du bouton) vous aurez le résultat que
vous cherchiez, voulez-vous que je le fasse ? » Si l'utilisateur faisant
appelle à l'aide clique sur oui l'aide clique sur bouton via
AppleScript. En fait cela permet de jouer aussi des préférences de
l'appli ou de lancer des choses en aidant l'utilisateur.
Donc ne râler après Apple, cela fait plusieurs années que cela était
dispo et il a fallu ce temps pour que quelqu'un trouve le moyen d'en
faire un vers limité dans ses effets. Apple saura rapidement limiter les
effets mais il faut choisir entre offrir des outils qui permmettent aux
développeurs d'aider les utilisateurs néophytes à utiliser simplement
une machine ou faire du Mac un truc réservé à une élite Bac+7 ;-)
Je suis sûr qu'ils vont faire en sorte que seul l'application Aide ne
sache envoyer des url help ou du moins que Safari ne sache plus les
décoder dans du html.
--
Benoît Leraillez
La douleur des autres est tout à fait supportable, hors les cris.
Impec! C'est vraiment Safari qui s'occupe de ce qu'il ne devrait pas!
Ce n'est pas Safari. Je crois tout simplement qu'Apple a utilisé le moteur de Safari pour pour l'Aide et la boucle est bouclée. Un lien help: va pointer vers une autre page help: comme une page de l'aide d'Apple depuis l'aide d'une application quelconque.
De même le fait de pouvoir lancer des scripts permet aux développeurs d'aider les gens en pilotant les applications depuis l'aide, genre « si vous cliquer sur ce bouton (icone du bouton) vous aurez le résultat que vous cherchiez, voulez-vous que je le fasse ? » Si l'utilisateur faisant appelle à l'aide clique sur oui l'aide clique sur bouton via AppleScript. En fait cela permet de jouer aussi des préférences de l'appli ou de lancer des choses en aidant l'utilisateur.
Donc ne râler après Apple, cela fait plusieurs années que cela était dispo et il a fallu ce temps pour que quelqu'un trouve le moyen d'en faire un vers limité dans ses effets. Apple saura rapidement limiter les effets mais il faut choisir entre offrir des outils qui permmettent aux développeurs d'aider les utilisateurs néophytes à utiliser simplement une machine ou faire du Mac un truc réservé à une élite Bac+7 ;-)
Je suis sûr qu'ils vont faire en sorte que seul l'application Aide ne sache envoyer des url help ou du moins que Safari ne sache plus les décoder dans du html.
-- Benoît Leraillez
La douleur des autres est tout à fait supportable, hors les cris.
fra
Benoit wrote:
Impec! C'est vraiment Safari qui s'occupe de ce qu'il ne devrait pas!
Ce n'est pas Safari. Je crois tout simplement qu'Apple a utilisé le moteur de Safari pour pour l'Aide et la boucle est bouclée.
Le moteur de Safari ne devrait pas gérer help:// et cette fonction devrait juste être rajouté dans l'helpviewer.
[...] Je suis sûr qu'ils vont faire en sorte que seul l'application Aide ne sache envoyer des url help ou du moins que Safari ne sache plus les décoder dans du html.
Impec! C'est vraiment Safari qui s'occupe de ce qu'il ne devrait pas!
Ce n'est pas Safari. Je crois tout simplement qu'Apple a utilisé le
moteur de Safari pour pour l'Aide et la boucle est bouclée.
Le moteur de Safari ne devrait pas gérer help:// et cette fonction
devrait juste être rajouté dans l'helpviewer.
[...] Je suis sûr qu'ils vont faire en sorte que seul l'application Aide
ne sache envoyer des url help ou du moins que Safari ne sache plus les
décoder dans du html.
Impec! C'est vraiment Safari qui s'occupe de ce qu'il ne devrait pas!
Ce n'est pas Safari. Je crois tout simplement qu'Apple a utilisé le moteur de Safari pour pour l'Aide et la boucle est bouclée.
Le moteur de Safari ne devrait pas gérer help:// et cette fonction devrait juste être rajouté dans l'helpviewer.
[...] Je suis sûr qu'ils vont faire en sorte que seul l'application Aide ne sache envoyer des url help ou du moins que Safari ne sache plus les décoder dans du html.
Valà -- Fra
laurent.pertois
Fra wrote:
Le moteur de Safari ne devrait pas gérer help:// et cette fonction devrait juste être rajouté dans l'helpviewer.
Sauf que tu peux avoir une doc livrée avec ton soft qui te le présente et t'envoie sur l'aide.
-- Politically Correct Unix - UTILITIES The "touch" command has been removed from the standard distribution due to its inappropriate use by high-level managers.
Fra <fra@alussinan.org> wrote:
Le moteur de Safari ne devrait pas gérer help:// et cette fonction
devrait juste être rajouté dans l'helpviewer.
Sauf que tu peux avoir une doc livrée avec ton soft qui te le présente
et t'envoie sur l'aide.
--
Politically Correct Unix - UTILITIES
The "touch" command has been removed from the standard distribution due
to its inappropriate use by high-level managers.
Le moteur de Safari ne devrait pas gérer help:// et cette fonction devrait juste être rajouté dans l'helpviewer.
Sauf que tu peux avoir une doc livrée avec ton soft qui te le présente et t'envoie sur l'aide.
-- Politically Correct Unix - UTILITIES The "touch" command has been removed from the standard distribution due to its inappropriate use by high-level managers.
Patrick Stadelmann
In article <1ge41go.1rr1ntc1b2nn5sN%, (Fra) wrote:
Le moteur de Safari ne devrait pas gérer help:// et cette fonction devrait juste être rajouté dans l'helpviewer.
Ce n'est pas Safari, c'est le système !
Je change le titre vu que cette faille n'affecte pas que Safari.
Patrick -- Patrick Stadelmann
In article <1ge41go.1rr1ntc1b2nn5sN%fra@alussinan.org>,
fra@alussinan.org (Fra) wrote:
Le moteur de Safari ne devrait pas gérer help:// et cette fonction
devrait juste être rajouté dans l'helpviewer.
Ce n'est pas Safari, c'est le système !
Je change le titre vu que cette faille n'affecte pas que Safari.
Patrick
--
Patrick Stadelmann <Patrick.Stadelmann@unine.ch>
In article <1ge41go.1rr1ntc1b2nn5sN%, (Fra) wrote:
Le moteur de Safari ne devrait pas gérer help:// et cette fonction devrait juste être rajouté dans l'helpviewer.
Ce n'est pas Safari, c'est le système !
Je change le titre vu que cette faille n'affecte pas que Safari.
Patrick -- Patrick Stadelmann
Patrick Stadelmann
In article , Matt wrote:
Je n'ai pas jamais dit le contraire. Ne me fais pas dire ce que j'ai pas dit stp...
Excuse-moi, mais à la question de Saïd :
Est-ce que le fait de rediriger help: vers une autre application va casser l'aide Apple (celle que je lance en cliquant sur le menu)? En d'autres termes est-ce que l'aide a des references internes sous la forme help:?
Tu réponds :
Oui. Tous les liens utilisant de type "<a href="help:*" seront normalement inopérant.
Pour moi, ta réponse veut dire : oui, rediriger help: va casser l'aide. Ce qui n'est pas le cas.
Patrick -- Patrick Stadelmann
In article <2h5hsuF8o255U2@uni-berlin.de>, Matt <sbehz@syrius.org>
wrote:
Je n'ai pas jamais dit le contraire.
Ne me fais pas dire ce que j'ai pas dit stp...
Excuse-moi, mais à la question de Saïd :
Est-ce que le fait de rediriger help: vers une autre application va casser
l'aide Apple (celle que je lance en cliquant sur le menu)? En d'autres
termes est-ce que l'aide a des references internes sous la forme help:?
Tu réponds :
Oui. Tous les liens utilisant de type "<a href="help:*" seront
normalement inopérant.
Pour moi, ta réponse veut dire : oui, rediriger help: va casser l'aide.
Ce qui n'est pas le cas.
Patrick
--
Patrick Stadelmann <Patrick.Stadelmann@unine.ch>
Je n'ai pas jamais dit le contraire. Ne me fais pas dire ce que j'ai pas dit stp...
Excuse-moi, mais à la question de Saïd :
Est-ce que le fait de rediriger help: vers une autre application va casser l'aide Apple (celle que je lance en cliquant sur le menu)? En d'autres termes est-ce que l'aide a des references internes sous la forme help:?
Tu réponds :
Oui. Tous les liens utilisant de type "<a href="help:*" seront normalement inopérant.
Pour moi, ta réponse veut dire : oui, rediriger help: va casser l'aide. Ce qui n'est pas le cas.
Patrick -- Patrick Stadelmann
fra
Laurent Pertois wrote:
Fra wrote:
Le moteur de Safari ne devrait pas gérer help:// et cette fonction devrait juste être rajouté dans l'helpviewer.
Sauf que tu peux avoir une doc livrée avec ton soft qui te le présente et t'envoie sur l'aide.
Une doc html tu veux dire ? Mouais bein tanpis pour la fonction. Y'a qu'a aussi donné comme créateur à cette aide l'helpviewer (qui affiche l'html). -- Fra
Le moteur de Safari ne devrait pas gérer help:// et cette fonction
devrait juste être rajouté dans l'helpviewer.
Sauf que tu peux avoir une doc livrée avec ton soft qui te le présente
et t'envoie sur l'aide.
Une doc html tu veux dire ? Mouais bein tanpis pour la fonction. Y'a
qu'a aussi donné comme créateur à cette aide l'helpviewer (qui affiche
l'html).
--
Fra
Le moteur de Safari ne devrait pas gérer help:// et cette fonction devrait juste être rajouté dans l'helpviewer.
Sauf que tu peux avoir une doc livrée avec ton soft qui te le présente et t'envoie sur l'aide.
Une doc html tu veux dire ? Mouais bein tanpis pour la fonction. Y'a qu'a aussi donné comme créateur à cette aide l'helpviewer (qui affiche l'html). -- Fra
