アカウント名:
パスワード:
同一のフォルダにdll仕込まれたらインストーラでなく、ふつうのアプリでもそのdllを読みにいくよね。これはwindowsの仕様によるもの。もちろんそのdllが正規なものかどうかのチェックをインストーラ側(exe側)でチェックすることもできるから脆弱性といえばそうなのかもしれないけど、dll側がapiフックかけてそのチェックを回避することもできるしねー。
同一のフォルダにdll仕込まれたらインストーラでなく、ふつうのアプリでもそのdllを読みにいくよね。
仕込まれた時点で、もう乗っ取られてると思うよ。
%PROGRAMFILES% に仕込まれる危険性は UAC の保護等もあり低い一方でダウンロード先フォルダなどは危険性が高いということで、最近はダウンロードしてそのまま実行するようなものが報告の対象になってる。
怪しいソフトをダウンロードして実行したらダメですよ!ってレベルの問題か・・・
怪しくないソフトと怪しいファイルを同じディレクトリに置いたらダメですよ!というのはちょっとレベルが違うと思うんだ。
怪しいファイルダウンロード(ダウンフォルダに自動保存)↓怪しくないアプリダウンロード(ダウンフォルダに自動保存)↓怪しくないアプリ実行↓サヨウナラ
うーん
直接怪しい(DLL)ファイルをダウンロードする方が間違ってるだろ。
Windowsのシステムファイルをネット検索するとこのファイル何?みたいなサイト山ほど見つかって最新ファイルをダウンロード みたいなリンクまである怪しいと言えば怪しいんだけど、そういう所から単品持ってくる可能性はあるかもしれない
違うが、それも含めて仕様としか言いようがないケースでは。これを脆弱性呼ばわりして何をさせたいんだ。
ここはスラドなので、マイクロソフトが絡んでて脆弱性っぽければ、実害やリスク・発生可能性は関係なくマイクロソフトを叩きましょう。肯定なんて許しません。# という話では
Windowsのライセンスを隅から隅まで読んだとまでは言えないが、「仕様がクソだね」と文句垂れる権利まで放棄した記憶はないぞ。マカーも真っ青の信者脳だな。
自身の発言に対して「何いってんだこいつ」と言われない権利をいつ手に入れた記憶があるんだ?
別に文句をたれるなと入っていないが。公の場で筋違いの文句を大声で叫んでいたら、うるせーチラシの裏にでも書いてろと言われただけだろ。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
「毎々お世話になっております。仕様書を頂きたく。」「拝承」 -- ある会社の日常
仕様と脆弱性の違いはどこに? (スコア:1)
同一のフォルダにdll仕込まれたらインストーラでなく、ふつうのアプリでもそのdllを読みにいくよね。
これはwindowsの仕様によるもの。
もちろんそのdllが正規なものかどうかのチェックをインストーラ側(exe側)でチェックすることもできるから脆弱性といえばそうなのかもしれないけど、dll側がapiフックかけてそのチェックを回避することもできるしねー。
Re: (スコア:1)
同一のフォルダにdll仕込まれたらインストーラでなく、ふつうのアプリでもそのdllを読みにいくよね。
仕込まれた時点で、もう乗っ取られてると思うよ。
Re: (スコア:0)
%PROGRAMFILES% に仕込まれる危険性は UAC の保護等もあり低い一方で
ダウンロード先フォルダなどは危険性が高いということで、最近は
ダウンロードしてそのまま実行するようなものが報告の対象になってる。
Re: (スコア:0)
怪しいソフトをダウンロードして実行したらダメですよ!ってレベルの問題か・・・
Re:仕様と脆弱性の違いはどこに? (スコア:0)
怪しくないソフトと怪しいファイルを同じディレクトリに置いたらダメですよ!というのはちょっとレベルが違うと思うんだ。
Re:仕様と脆弱性の違いはどこに? (スコア:2, すばらしい洞察)
怪しいファイルダウンロード(ダウンフォルダに自動保存)
↓
怪しくないアプリダウンロード(ダウンフォルダに自動保存)
↓
怪しくないアプリ実行
↓
サヨウナラ
うーん
Re: (スコア:0)
直接怪しい(DLL)ファイルをダウンロードする方が間違ってるだろ。
Re: (スコア:0)
Windowsのシステムファイルをネット検索すると
このファイル何?みたいなサイト山ほど見つかって
最新ファイルをダウンロード みたいなリンクまである
怪しいと言えば怪しいんだけど、そういう所から単品持ってくる可能性はあるかもしれない
Re: (スコア:0)
違うが、それも含めて仕様としか言いようがないケースでは。これを脆弱性呼ばわりして何をさせたいんだ。
Re: (スコア:0)
ここはスラドなので、マイクロソフトが絡んでて脆弱性っぽければ、実害やリスク・発生可能性は関係なくマイクロソフトを叩きましょう。肯定なんて許しません。
# という話では
Re: (スコア:0)
Windowsのライセンスを隅から隅まで読んだとまでは言えないが、「仕様がクソだね」と文句垂れる権利まで放棄した記憶はないぞ。
マカーも真っ青の信者脳だな。
Re: (スコア:0)
自身の発言に対して「何いってんだこいつ」と言われない権利をいつ手に入れた記憶があるんだ?
Re: (スコア:0)
別に文句をたれるなと入っていないが。公の場で筋違いの文句を大声で
叫んでいたら、うるせーチラシの裏にでも書いてろと言われただけだろ。