关于IObjectSafety的思考

最新推荐文章于 2019-01-08 00:56:31 发布
原创 最新推荐文章于 2019-01-08 00:56:31 发布 · 1.8k 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#ie #脚本 #html #微软 #web

讨论了COM组件在浏览器中使用时的安全问题，特别是通过实现IObjectSafety接口来避免IE的安全提示，以及这种做法可能带来的风险。
经常在网页里嵌入COM组件,而且为了避免IE的提示,我们常常让其实现IObjectSafety接口,以告诉IE说我是安全的,请不要提示啦!还真奇怪,IE就乖乖的听话,不提示了.我一直很怀疑微软这样做的道理是什么?因为COM对象只要实现这个接口,IE就相信它,这样还有什么意义呢?

后来,我想明白了,因为COM组件在使用前需要首先安装/注册,这时候一般都需要用户进行参与,所以也算是用户同意和相信该COM组件了.

现在,我又想到了一个问题.我写的COM组件也完全有可能被人利用啊,因为在HTML里,所有的代码都是公开的!如果一个人写的COM组件有一些比较危险的操作,比如操作本地文件...这个问题是在我尝试使用MSXML打开本地文件的时候遇到的，当访问Web上页面的时候，MSXML对象是不允许打开本地对象的--这让我想起了Cross-Domain脚本的安全限制问题。如果没有这一点的话，打开一个危险的网页的话，这个网页就可以窃取本地数据的信息或者进行破坏！另一个对象Scripting.FileSystemObject虽然没有这个限制,但是其没有实现IObjectSafety接口,IE会弹出警告提示窗口!

难怪说IE的安全漏洞比较多呢,因为有太多的COM组件.FireFox好像干脆就不支持COM组件,看你还有什么漏洞!

还是回到开头的话题,一个负责任的COM组件,不应该随随便便把自己声明为脚本安全,即实现IObjectSafety接口,以免被外人利用.想想看,访问一个恶意的网站,其页面调用了你的COM组件,没有任何提示,就对用户的数据进行了窃取和破坏...这是助纣为虐啊!

所以,是让IE出现提示呢,还是不出现?这是一个问题.
optman
关注
ActiveX控件安全初始化之一:实现ISafeObject接口
俺想有栋房
03-31 7993
ActiveX控件打包成cab后,在脚本中调用中时,要保证控件的安全性才能在你的网页上安全运行,有两种方法来实现这一保证:实现一个名称为IObjectSafe的接口到你的控件。如果IE发现你的控件支持IObjectSafety，它调用 IObjectSafety::SetInterfaceSafetyOptions 方法然后才载入你的控件。另外一种方法需要修改注册表，我将会在另外一篇文章中详细介绍
添加IObjectSafety接口使MFC写的OCX可信
smilingc_开发小记
07-07 1478
OCX控件在IE下使用弹出安全问题的解决是添加IObjectSafety接口及实现。我的环境是VS2013，找了很久没有找到IObjectSafety需要添加哪些代码，这篇代码很详细。
再谈IObjectSafety
热门推荐
optman的专栏
07-18 2万+
都说ActiveX危险，那么为什么XmlHttpRequest以及MediaPlayer都是用ActiveX的方式创建的，却没有问题？原来，这是因为这些ActiveX组件都声明自己是脚本安全的，而IE的中级安全设置上，是允许脚本安全的ActiveX创建，并且不予警告的。IE怎么知道一个插件是脚本安全的？它是通过以下两个办法。一是查询ActiveX组件是否实现了IObjectSafety接口，并
IObjectSafety (Interfaces)
加菲猫的快乐生活--我的理想
07-24 752
 SummaryIObjectSafety is used to mark ActiveX Controls safe for scripting. C# Definition:[ComImport, GuidAttribute("CB5BDC81-93C1-11CF-8F20-00805F2CD064")][InterfaceTypeAttribute(ComInterfaceT
Activex控件的IObjectSafety接口问题
weixin_34186931的博客
01-08 262
我的05年做流氓插件的时候，就注意到了这个问题，只要注册表加入 类似的就可以  HKEY_CLASSES_ROOT\Component    Categories\{7DD95801-9882-11CF-9FA9-00AA006C42C4}    HKEY_CLASSES_ROOT\Component    Categories\{7DD95802-9882-11CF-9FA9-00AA006C...
IObjectSafety接口
QustDong的专栏
04-24 1492
都说ActiveX危险，那么为什么XmlHttpRequest以及MediaPlayer都是用ActiveX的方式创建的，却没有问题？原来，这是因为这些ActiveX组件都声明自己是脚本安全的，而IE的中级安全设置上，是允许脚本安全的ActiveX创建，并且不予警告的。IE怎么知道一个插件是脚本安全的？它是通过以下两个办法。一是查询ActiveX组件是否实现了IObjectSafety接口，并且返
ATL 实现IObjectSafety接口
Larry的专栏
01-22 1301
在实现IObjectSafety接口之后，浏览器就不会再弹出是否允许运行之类的对话框，MFCACTIVEX控件中添加IObjectSafety接口是直接实现其中的某些方法，而ATL对IObjectSafety接口做了一个简单的实现，是用template实现的，template class IObjectSafetyImpl,见http://msdn2.microsoft
ATL 实现IObjectSafety 接口
sstower的专栏
07-05 5377
如果com组件要在IE中进行调用，则必须实现IObjectSafety接口，不然在ie中必须调整activex选项才可以正常运行，如下是实现IObjectSafety的例子：#include //////////////////////////////
必须要实现IObjectSafety接口，把ActiveX控件标记为安全的ActiveX控件，可以不这样做的。可以把控件注册一下就可以了
人生不要太仁慈
11-02 720
必须要实现IObjectSafety接口，把ActiveX控件标记为安全的ActiveX控件，可以不这样做的。可以把控件注册一下就可以了。如果你实在看不懂 IObjectSafety接口的定义的话。可以这样做：RegistryKey rootKeyStair ,rootKeyTwo,rootKeyThree,rootKeyFour;   rootKeyStair = Registry.Clas
如何 IObjectSafety 标记 ATL 控件安全初始化
04-30
需要用来获得所需的功能在步骤涉及到 IObjectSafetyImpl 用作您的控件派生的类之一，和重写 GetInterfaceSafetyOptions 和 SetInterfaceSafetyOptions。 这使您实现所需的功能在这种情况下意味着将标记为可安全编写脚本和初始化该控件。 若要将 IObjectSafetyImpl 需要将其添加到您的控件派生的类的列表。 是例如多边形教程中您看到以下： class ATL_NO_VTABLE CPolyCtl : ... public IObjectSafetyImpl // ATL's version of // IObjectSafety { public: BEGIN_COM_MAP(CPolyCtl) ... COM_INTERFACE_ENTRY_IMPL(IObjectSafety) // Tie IObjectSafety // to this COM map END_COM_MAP() STDMETHOD(GetInterfaceSafetyOptions)(REFIID riid, DWORD *pdwSupportedOptions, DWORD *pdwEnabledOptions) { ATLTRACE(_T("CObjectSafetyImpl::GetInterfaceSafetyOptions\n")); if (!pdwSupportedOptions || !pdwEnabledOptions) return E_FAIL; LPUNKNOWN pUnk; if (_InternalQueryInterface (riid, (void**)&pUnk) == E_NOINTERFACE) { // Our object doesn't even support this interface. return E_NOINTERFACE; }else{ // Cleanup after ourselves. pUnk->Release(); pUnk = NULL; } if (riid == IID_IDispatch) { // IDispatch is an interface used for scripting. If your // control supports other IDispatch or Dual interfaces, you // may decide to add them here as well. Client wants to know // if object is safe for scripting. Only indicate safe for // scripting when the interface is safe. *pdwSupportedOptions = INTERFACESAFE_FOR_UNTRUSTED_CALLER; *pdwEnabledOptions = m_dwSafety & INTERFACESAFE_FOR_UNTRUSTED_CALLER; return S_OK; }else if ((riid == IID_IPersistStreamInit) || (riid == IID_IPersistStorage)) { // IID_IPersistStreamInit and IID_IPersistStorage are // interfaces used for Initialization. If your control // supports other Persistence interfaces, you may decide to // add them here as well. Client wants to know if object is // safe for initializing. Only indicate safe for initializing // when the interface is safe. *pdwSupportedOptions = INTERFACESAFE_FOR_UNTRUSTED_DATA; *pdwEnabledOptions = m_dwSafety & INTERFACESAFE_FOR_UNTRUSTED_DATA; return S_OK; }else{ // We are saying that no other interfaces in this control are // safe for initializing or scripting. *pdwSupportedOptions = 0; *pdwEnabledOptions = 0; return E_FAIL; } } STDMETHOD(SetInterfaceSafetyOptions)(REFIID riid, DWORD dwOptionSetMask, DWORD dwEnabledOptions) { ATLTRACE(_T("CObjectSafetyImpl::SetInterfaceSafetyOptions\n")); if (!dwOptionSetMask && !dwEnabledOptions) return E_FAIL; LPUNKNOWN pUnk; if (_InternalQueryInterface (riid, (void**)&pUnk) == E_NOINTERFACE) { // Our object doesn't even support this interface. return E_NOINTERFACE; }else{ // Cleanup after ourselves. pUnk->Release(); pUnk = NULL; } // Store our current safety level to return in // GetInterfaceSafetyOptions m_dwSafety |= dwEnabledOptions & dwOptionSetMask; if ((riid == IID_IDispatch) && (m_dwSafety & INTERFACESAFE_FOR_UNTRUSTED_CALLER)) { // Client wants us to disable any functionality that would // make the control unsafe for scripting. The same applies to // any other IDispatch or Dual interfaces your control may // support. Because our control is safe for scripting by // default we just return S_OK. return S_OK; }else if (((riid == IID_IPersistStreamInit) || (riid == IID_IPersistStorage)) && (m_dwSafety & INTERFACESAFE_FOR_UNTRUSTED_DATA)) { // Client wants us to make the control safe for initializing // from persistent data. For these interfaces, this control // is safe so we return S_OK. For Any interfaces that are not // safe, we would return E_FAIL. return S_OK; }else{ // This control doesn't allow Initialization or Scripting // from any other interfaces so return E_FAIL. return E_FAIL; } } ... } ATL 3.0 中, IObjectSafetyImpl 的实现已更改，使您现在可以作为模板参数提供安全选项。 例如，上述类的声明将显示为 class ATL_NO_VTABLE CPolyCtl : ... public IObjectSafetyImpl { public: BEGIN_COM_MAP(CPolyCtl) ... ，您将不必重写两个方法。 有关其他信息，单击下面，文章编号，以查看 Microsoft 知识库中相应： 192093 PRB： 编译器错误时移植到 ATL 3.0 IObjectSafetyImpl
*继承IObjectSafety接口，实现vb activeX控件安全性（IE不提示安全问题）
11级风的博客
04-16 1320
原文http://support.microsoft.com/kb/182598/zh-cn 从 Visual Basic 6.0 CD-ROM（安装目录） 中获取 OLE 自动化类型库生成器。若要执行此操作将所有四个文件从 /Common/Tools/VB/Unsupprt/Typlib/ 文件夹复制到您的项目文件夹中。 将以下文本复制到记事本，，将文件保存为 Objsafe.odl 项目文
ActiveX控件安全初始化之一:实现ISafeObject接口(转)
liuyanhuasd的博客
03-01 671
 ActiveX控件安全初始化之一:实现ISafeObject接口(转) ActiveX控件在签名以后，仍然被IE浏览器默认安全级阻止而无法安装。 使用代码签名证书签名后的控件在运行时报“Internet Explorer已经阻止此站点用不安全方式使用ActiveX控件.因此,此页面可能显示不正确”。 这是因为该ActiveX控件没有标记为脚本安全，在IE默认安全级别设
VB中实现IObjectSafety接口以声明控件安全的方法
weixin_30517001的博客
06-24 164
VB编写的ActiveX控件，在被Javascript脚本调用时会弹出讨厌的对话框，警告用户即将运行不安全的ActiveX脚本，因此必须要实现IObjectSafety接口以声明控件是脚本安全的，下面是具体方法： 1. 新建一个目录作为你的工程目录； 2. 插入VB的安装盘，进入%安装盘根目录%\COMMON\TOOLS\VB\UNSUPPRT\TYP...
解决ActiveX控件安全提示问题：实现IObjectSafety接口
1. 实现IObjectSafety接口：IObjectSafety接口是微软提供的一种安全机制，它允许开发者控制ActiveX控件与其他对象之间的交互。通过实现这个接口，你可以明确指定哪些接口的安全选项是启用的。在提供的代码片段中，...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值