[Imperator]

Buhh.

Das hat mich umgehauen.

[ichbines]

Ah, das ist alt und funktioniert nur mit dem Internet Explorer!

[The_Nightflyer]

Jetzt hab ich extra den guten alten IE
rausgekrammt, und was passiert...bis
auf die Meldung "Soll der Debug Modus gestartet werden"
...nix

Funktioniert das wirklich?

[achilleus]

feiner firefox:

"Die Grafik "http://home.1asphost.com/sousy2050/jeeper.jpg" kann nicht angezeigt werden, weil sie Fehler enthält."

[black.cobra]

also mein opera zeigt auch nichts an

[Stulle]

Zitat (achilleus: 29.02.2004, 23:06)

feiner firefox:

"Die Grafik "http://home.1asphost.com/sousy2050/jeeper.jpg" kann nicht angezeigt werden, weil sie Fehler enthält."

Die selbe Meldung erhalte ich auch.

Um was für ein Bild geht es da denn nun. Wird dadurch ein Fehler im IE ausgenutzt?

[Rika]

Naja, laut Microsoft ist das ein Feature... führt zu Problemen und Sicherheitslücken. Mit dieser Dateninhaltserkennungstechnik versucht er sogar reine Textdateien als HTML zu interpretieren, egal ob das erwünscht wird oder nicht. Umgekehrt parset er auch Scripts aus allen möglichen Formaten (hier halt HTML im JPEG-Schafspelz), und damit lassen sich Sicherheitslücken noch viel leichter ausnutzen.

Apropos, der hier verwendete Bug benötigt ActiveX, deshalb funzt's bei den meisten nicht.

Vernünftige Browser hören sowieso lieber auf den MIME-Type im HTTP-Header und machen die "Ich versuche MIME-Fehler durch Parsen der Daten zu umgehen und stelle mehr Sachen richtig dar, egal ob ich damit viele Sicherheitslücken aufreiße"-Chose ncht mit.

[Dimension]

Das Bild an sich ist nur ein normales JPG, dafür hats ein VBScript im HTML-Code, das über die ActiveX-Komponente vom Media Player versucht, das CD-Laufwerk zu öffnen. Bei mir macht er im IE5 nichts weiter, als das Skript aufgrund einer Zugriffsverletzung zu blockieren

[Rika]

Wenn's HTML drin hat, ist es kein normales JPEG. Es hat nur die Dateiendung eines JPEGs und dazu den passenden MIME-Type image/jpeg. Nur daß der IE halt versucht, das ganze trotzdem als was anderes zu erkennen, damit Erfolg hat und es dadurch erst zu dem Bug kommt.

Also eigentlich ein nettes Feature, aber macht halt nur Probleme....

[Dimension]

Hmm, ich hab übersehen, dass die Seite ne JPG-Endung hat ... von den Postings her dachte ich es geht darum, dass im Bild selbst Code drin wäre.

Aber das mit den Endungen ist eigentlich weder ein Feature noch ein Fehler, der IE ignoriert diese einfach und analysiert das Dateiformat selbst. So ist es z.B. möglich, hier im Board BMP-Bilder zu posten, obwohl die .BMP-Endung nicht akzeptiert wird. Man muss sie einfach in .JPG oder GIF umbenennen

[Rika]

Ach und es ist also kein Fehler, wenn ich eine Textdatei ins Netz stelle, die explizit als text/plain markiere, und weil sie über HTML handelt und daher einige HTML-Tags genannt werden, der IE sie aber nicht anzeigt sondern interpretiert und damit verschluckt?

Z.B. http://piology.org/ie/mime.txt