ArcView:Skript-Viren: Unterschied zwischen den Versionen

GISWiki - Das freie Portal für Geoinformatik (GIS)
Wechseln zu: Navigation, Suche
(Sicherheit bei Extensions und Scripts - Script-Viren)
Zeile 74: Zeile 74:
 
''--[[Benutzer:Hubertus]] 02.09.2004''
 
''--[[Benutzer:Hubertus]] 02.09.2004''
  
[[Kategorie:ArcView 3.x]]
+
[[Kategorie:ArcView]]

Version vom 16. August 2005, 08:37 Uhr

Sicherheit bei Extensions und Scripts - Script-Viren

Stimmt meine Einschätzung, dass über Avenue- oder VBA-Scripte (beispielsweise "System.execute" ...) ähnlich dem Sicherheitsproblem bei Microsoft Scripten beliebiges oder zumindest sehr schädliches ausgeführt werden kann? - Ich denke schon!

Die Hilfe (Avenue) schreibt folgendes hierzu ...

 You cannot issue DOS commands like copy or dir;
 these are part of command.com. Avenue statements
 like System.Execute("copy f1 f2") or System.Execute
 ("mkdir c:\test") fail with the error message:

 mkdir c:\test: The program could not be found.

 If you need to perform these tasks, you can create
 a batch file and then execute it. The batch file
 could even be created on the fly from within an 
 Avenue script. Or you can give the following
 command to the command.com file. On Windows NT,
 command.com is in the WINNT\SYSTEM32 directory. On
 Windows 95, command.com is in the WIN95 directory.

Eine Batch-Datei mit allem Drum (BUMM) und Dran (PÄNG) lässt sich also sehr einfach generieren!

Wie sieht es also aus bei der Sicherheit von Scripts oder Extensions. Was passiert bei der Anwendung von codierten Scripts ? Wo gibt es eine Dokumentation zur Sicherheit von Esri-Programmen Wie ist dieses Problem in Arcview 8.xxx gelöst. Ist dort dieses Problem mit VBA noch größer (weil mächtiger) geworden ?

Wieviele "ESRI-Viren" gibt es ?

--Benutzer:heinzJ 25.03.2003

Ich denke auch, dass es mit Avenue kein Problem wäre Viren zu schreiben. Allein wenn man sich mal die "File" Funktion anschaut kann man damit sehr viel Unsinn anstellen.

"You cannot issue DOS commands like copy or dir" ist unklar ausgedrückt!
Man kann die Befehle nicht direkt ausführen, aber wenn man ein "cmd /c " davor schreibt geht es sehr wohl.

Folgendes Script liest z.B. alle Dateien im Verzeichnis "c:\temp" und gibt sie in einer Liste aus. Statt dem DOS-Befehl DIR hätte auch jeder andere DOS-Befehl ausgeführt werden können, zu dem der angemeldete User die Rechte hat. So wäre in der Zeile ein "Format C:" auch möglich, habe ich aber nicht ausprobiert ;-)

aprAusgabe = "c:\temp\search_apr.txt"
Suchverzeichnis = "c:\temp"
'********************************************************
'**** so können beliebige DOS Programme ausgeführt werden
'********************************************************
strExecute = "cmd /c dir "+ Suchverzeichnis +" /b > " + aprAusgabe
system.ExecuteSynchronous (strExecute)

'**** Datei mit der Liste aller Dateien in Suchverzeichnis
aprAusgabeStr = aprAusgabe.asfilename

'**** apr-Dateien Liste wird aus der erstellten Textdatei erstellt
aprAusgabeFile = linefile.make(aprAusgabeStr,#FILE_PERM_READ )
zeilen=aprAusgabeFile.getsize
aprAusgabeFileListe={}

aprAusgabeFile.read(aprAusgabeFileListe,zeilen)
aprAusgabeFile.Close

aprAusgabeFileListeTrim = {}
for each zeile in aprAusgabeFileListe
zeile = zeile.trim
aprAusgabeFileListeTrim.add(zeile)
end
msgbox.listasstring(aprAusgabeFileListeTrim,"Dateien in "+ Suchverzeichnis,"")


Von irgendwelchen Avenue-Viren habe ich noch nichts gehört, ich weiß, dass Sie möglich sind. Auf der anderen Seite ist die Verbreitung von ArcView nun auch nicht so groß, dass sich eine Virenprogrammierung lohnen würde. Auf alle Fälle ist ArcView mit den Rechten des gerade angemeldeten Benutzers ausgestattet.
Wie für alle Vieren gilt: Man sollte möglichst vermeiden sich als Administrator an seinem Rechner anzumelden (auch wenn das Arbeiten an einigen Stellen sicher ein wenig erschwert wird)
--Benutzer:Hubertus 02.09.2004