iframe je virus

Slao sam html e-mail na @ptt.yu adresu i koristio sam iframe tag. Ptt-ov virus skener ne dozvoljava ovakve poruke:


Interesuje me da li jos neki web mail servisi ne dozvoljavaju iframe tag u e-mail-ovima ili je to samo ptt-ova glupost?
iframe koristim kako bih ucitao php stranicu (sa nekog servera) koja belezi preglede strane. Ne bih da koristim img src jer mozda je nekome ukljuceno da ne prikazuje slike.

Potpis

"Ako hoćeš da saznaš, pristani na sve"
- Džoni Štulić

Deluje sasvim logicno i spada u Paranoid (ili pre Heuristic) alert pri skeniranju dolaynih emailova. Naime, moguce je u taj tag ugraditi stranicu koja preko skripta pristupa odredjenim podacima na client racunaru. Problem bi se resio da se ta stranica skenira onmah, ali iygleda u PTTu nisu dotle stigli ;)

Da da to je sasvim normalno...
ja mislim da yahoo dozvoljava iframe tag..

Potpis

Keep the faith....
MTL Design Studio....
http://www.mtldesign.co.sr

A kako drugacije, osim iframe i img src tagova mogu da pozovem skriptu za brojanje pregleda (koja se nalazi na mom serveru) ? Mozda da otvorim jedan pop-up prozor? JavaScript-om ili kako?

Potpis

"Ako hoćeš da saznaš, pristani na sve"
- Džoni Štulić

Ako misliš da moj email klijent neće da pregleda <img tag, zašto misliš da bi pogledao iframe?

Ne postoji način da proveriš da li je email pročitan.


~Say FiQ

Normalno da ovo nije dozvoljeno jer na osnovu toga ti ugrožavaš moju privatnost, verifikuješ slučajnu adresu, beležiš IP ili želiš da saznaš koji mail klijent koristim.

Potpis

http://sr.libreoffice.org — slobodan kancelarijski paket, obrada teksta, tablice,
prezentacije, legalno bez troškova licenciranja

Nije glupost... Logican je potez onemoguciti iframe-ove u mailu - iz sigurnosnih razloga, kao sto je vec neko gore rakao... Takvo nesto se ocekuje od savjesnog providera.

Cak i kad bi server testirao kôd stranice koja je u iframe-u nebi se rijesio problem zloupotrebe. Recimo da neko napravi 2 stranice tako da svaka od njih sadrzi inline frame u kojem se prikazuje ona druga stranica... Dobije se beskonacan loop i mos se slikat...



Jel se smije znat zasto ti treba bas takav mail? Tj. taj counter...

Nemoj se ljutit, al prvo sto mi pada na pamet bi bilo da zelis napumpat counter tako sto bi mail poslo okolo ekipi... I sam velis da bi ga slao nekome, za koga ne znas dal ima omogucen prikaz slika... Da saljes frendu jednostavno bi mu mogo rec da privremeno ukljuci prikaz slika da vidi sta mu zelis poslat.
Sorry ak sam krivo shvatio pa se zaletio bezveze...

Potpis

Don't take life too seriously... Nobody gets out alive, anyway.

Vesicu, neko napred nesto rece... a evo opet.
Prvo, mislim (nisam probao, ali mislim) da je jednostavno nemogu'e da <IFRAME> bude jedan u drugom... i sam <FRAME> ne podrzava rekurzvnost...

a drugo.... ako mu treba da bi pumpao counter...
nasao bi neki servis gde je pumpanje kauntera po default-u tog servisa da ne mora da spamuje ceo svet...

To je to :)

Ma HTML email je u sustini losa ideja!

Ma kakvo pumpanje counter-a ? Napisao sam malu php skriptu koja kada otvorim stranu index.php?brojac=proba u fajl proba upisuje lokalno vreme. Hocu da u html mail (koji se vidi u vecini web-based mail servisa tipa yahoo) ubacim nekako da mi ucitava tu stranicu, kako bih imao zabelezeno vreme kada je taj kome sam slao procitao mail (npr. neko kaze da nema net, a ja lepo vidim da je procitao pismo i znam nece da odgovori). Pri tome on ne mora da zna da ja belezim te pregede, pa ne mogu da mu kazem da ukljuci slike. Koliko vidim iframe nema sanse da prodje, a verovatno ni JavaScript, tako da je img tag najbolje resenje.

Potpis

"Ako hoćeš da saznaš, pristani na sve"
- Džoni Štulić

Neko zaslužuje jednu dobru lekciju iz zaštite „privatnosti“.

Potpis

Možda se moje mišljenje promenilo, ali ne i činjenica da sam u pravu.

Internet je sjajno mesto za privatnost i anonimnost, ali treba znati kako to da postigneš ako želiš.
Onaj kome smeta da ja iskoristim html mail za to, neće ga koristiti (kao što npr. ja ne koristim za čitanje).
Onaj ko npr. ne želi da ja vidim šta mu piše u svesci, držaće je zatvorenom, a rušenje privatnosti bi bilo
kada bih ja bez pitanja otvorio njegovu svesku i video šta piše.

Potpis

"Ako hoćeš da saznaš, pristani na sve"
- Džoni Štulić

Nije podrazano od strane browsera, ali to nije ni potrebno da bi se napravila petlja koja bi zavarala anti-virusni software na serveru. Server bi provjeravao kod po redu i konstantno ucitavao stranice za analizu... Naravno to bi se moglo izbjeci tako da software ima neku varijablu koja bi vodila racuna o dubini levela do kojeg se provjerava, ali opet stvari bi se zakomplicirale ako bi u mailu bilo vise iframe-ova jerbo onda nebi bila dovoljna samo jedna varijabla vec bi ih trebalo vise i jos bi se moaralo voditi racuna koja odgovara kojem frameu i sl... Cak i kad bi software bio toliko precizan vjerojatno je da bi radio relativno sporo... Tako da je mnogo jednostavnije onemoguciti iframe-ove i kvit.
Inace sam protv HTML mailova, a kamoli jos da u njima budu frameovi, tako da se slazem s politikom providera koji to zabranjuju.



Moram priznat da jos nisam cuo za takav neki servis... Steta stvarno ako takvo nesto postoji.
Uostalom ja sam samo pretpostavio da bi mogao biti counter u pitanju jer mi je to prvo palo na pamet, nisam nista lose podrazumjevao.


turncoat, nadam se da mi ne zamjeras ono gore... U svakom slucaju ideja ti je interesantna, ne bas moralna, ali svakako interesantna ;)

Inace preporucio bih ti da pogledas Readnotify.com... Bas sam isprobao trial i stvar radi. Malo sam proucio HTML kod koji server generira; izgleda otprilike ovako:



Ocito je da se na nekoliko nacina pokusava doci do informacije o vremenu... Nije mi se dalo proucavati sta se tocno desava u pozadini i na serverskoj strani, ali mislim da je stvar dosta kompliciranija nego sto se na prvi poled cini. Eto, ako neko ima volje da detaljnije proucava...

Potpis

Don't take life too seriously... Nobody gets out alive, anyway.

Sad razmisli malo bolje o tome.

I idemo: ti si počeo sa pričom kako te možda neko slaže da nema mogućnosti da pročita tvoju poruku, a ipak ju je pročitao. To znači da on ne želi da vidiš da li je on pročitao poruku („ne želi da vidiš šta mu piše u svesci“). Ako želi da znaš, on će ti i reći, pa nema potrebe za ovim peripetijama.

Takođe, ovde se provlači još jedna bitna stvar. Ljudi ne znaju da omogućavanjem HTML pošte (zapravo, ona je uobičajeno uključena, pa treba svesno i namerno želeti da je isključiš) možda otkriju drugima neke podatke koje ne žele. U tvom primeru sa sveskama ti je to isto kao da npr. ti možeš da vidiš „kroz“ korice od kartona i papira, a ne možeš da vidiš „kroz“ gvožđe; sada, iako niko ne zna za ove tvoje „neuobičajene“ sposobnosti, ti bi zaključivao ovako: „da su hteli da ja njima ne čitam sveske, držali bi ih u gvozdenim kutijama“?

Ili nešto ne valja kod mene?

Potpis

Možda se moje mišljenje promenilo, ali ne i činjenica da sam u pravu.

Nisam stigao da pročitam celu temu, ali nešto me zanima - kako mislite da provajder tj. server sigurnošću utvrdi da li se u poruci nalazi iframe? Sam search za iframe tag nije od neke pomoći, pošto postoji još načina da se ovaj tag sakrije, pada mi na pamet javascript trenutno, ali sigurno ima još obilaznih rešenja.

Ja bih inače u državnim institucijama zabranio OExpress zakonom, time bi rešili 90% problema sa wormovima.

Nije u pitanju email klijent vec browser, tj. web-mail. Svaki (normalan) browser prikazuje iframe, dok slike mozes sam da iskljucis...




Cekaj sto bi neko "pumpao" counter? Da bi se hvalio drugima kako ima mngo poseta? hehe kakva glupost.
Ako bi neko to i hteo (da moze da se hvali) dovoljno bi bilo da stavi da broji od neke cifre a ne od nule...


[Ovu poruku je menjao turncoat dana 08.06.2003. u 01:37 GMT]

Potpis

"Ako hoćeš da saznaš, pristani na sve"
- Džoni Štulić

Pa kazem, ako neko ne zeli da vidim sta mu pise u svesci, drzace je zatvorenom. Ako neko ne zeli da vidim da li je procitao mail, nece dozvoliti html mail. Malo (ali samo malo :) cu da karikiram to sa gvozdenim kutijama:
Ako bih ja imao sposobnost da pod odredjenim uslovima vidim sta pise u knjizi, npr. novim ultra-gama blasterom mogu da skeniram sve sto je unutar neke gvozdene kutije i nadjem da je neko stavio knjigu bas u jednu takvu kutiju (npr. da bi postigao zastitu knjige od kosmickog zracenja ;) nema razloga da ne iskoristim tu svoju mogucnost, ako me vec interesuje sadrzaj knjige. Posledica toga sto on hoce da zastiti knjigu od kosmickog zracenja je to da ja mogu da vidim njen sadrzaj...
Mail je prvobitno osmisljen kao plain-text. Ako korisnici hoce i fancy ukrase, slicice i boje koristice html mail, a posledica toga je to da ja imam mogucnost da utvrdim da li i kada je mail procitan.

Svakako da je bitno to sto ljudi ne znaju da je html mail losa stvar, no ja oko toga necu da razbijam glavu, posto sam ja na dobitku a oni na gubitku. Ako neko od mene kupi nesto za 50 dinara, ne moze da se buni sto se nije raspitao ima li to negde jeftinije...

I u pravu si: neko zasluzuje dobru lekciju iz zastite privatnosti (tj. kako sebu obezbediti privatnost)... mnogi...

Nego, jesi ti temu prebacio u cekaonicu? Sad cekas da odgovorim pa da je prebacis u anonimnost i privatnost... :) aaa ljisica si ti... :)

Potpis

"Ako hoćeš da saznaš, pristani na sve"
- Džoni Štulić

Hm, zanimljivo gledište, zaista!

Ti vidiš mogućnost da nekoga prevariš (pošto je to zaista to, ma šta ti pričao), i smatraš da je samo postojanje mogućnosti dovoljno opravdanje da ti to učiniš.

Da li je ovo ispravno ili ne je drugo pitanje, ali je bitno da ti prepoznaš tačno o čemu se radi: ti hoćeš da prevariš ljude. Reci lepo i iskreno: „ja želim da prevarim ljude, da iskoristim njihovo neznanje radi pribavljanja lične koristi“ (nebitno je da li je ta korist materijalna, ili možda samo dobijanje podataka, kao što ti navodiš).

Znači, na prvom mestu poštenje. Radiš „nemoralnu“ stvar (po gledištima modernog morala; ja uopšte ne govorim da li je on ispravan ili ne, već konstatujem stanje), i valjda da toga budeš svestan. Čak, verujem da je ovo protivno i našem ustavu iz '91. godine o osnovnim ljudskim pravima pa i ovom novom („integritet osobe“), i to je čak i „nezakonito“.

E sad, kada utvrdimo stanje (pošto je osetljiva tema, ne bih ovaj korak preskočio), možemo da pričamo o tehničkoj strani tvog problema.

Potpis

Možda se moje mišljenje promenilo, ali ne i činjenica da sam u pravu.

Ja sam prebacio u Čekaonicu, jer nije za Web dizajn.

Potpis

» Mom, mom, look what I did, mom!
» Look what I did to my hands, I broke 'em!

Nisam siguran da sam skuzio sta si htio rec... Dal mislis na to da se unutar kôda nekako zamaskira iframe tag ili da se efekt inline frame-a postigne na neki drugi nacin (bez koristenja iframe tagova)?
Ovo prvo ne bi smjelo biti moguce s obzirom na to da software koji analizira kôd cini to na nacin da ide, primjera radi, liniju po liniju i trazi string "iframe", kad ga nadje jednostavno trazi closing tag i onda zanemariju sve izmedju ta dva taga... Pretpostavljam da na tu semu radi, tako da mislim da ga nema smisla ikako "sakrivat" unutar .html dokumenta (jer ako se tag ikako promjeni on gubi svoju funkciju).
Drugo pak rijesenje vise ni nije u igri jer je stos da se nekome uvali iframe bez da on to zna, il bar bez da zna sta je u njemu; JavaScript je sam po sebi iskljucen u email komunikaciji od strane ili servera ili korisnika (bar bi trebao biti, iz ocitih razloga).

Kad bi se pisao neki program koji bi detaljno analizirao sav kôd i omogucavao sve tagove, ili cak i JS, moralo bi se itekako potrudit da se to korektno uradi, a opet sasvim sigurno bi se potkrala greska koju bi neko ko se zinati kad-tad pronasao. Da ne govorim o procesorskom vremenu koje bi se uludo troslo na to.

Inace, ak uhvatis vremena procitaj cijelu temu... Interesantna je turncoatova dosjetka.
Slazem se za OE...




Naravno... Ali nije isto ako nekome counter svaki dan ode npr. +15 i ako mu krene od 100k i ide svaki tjedan za +2... Uostalom, nije ni bitno; ja sam krivo pretpostavio, nisam imao losu namjeru. EoD.


BTW, topic bi mogo ic i u Anonimnost i privatnost...

Potpis

Don't take life too seriously... Nobody gets out alive, anyway.