Hallo zusammen,
Dass HTML in E-Mails möglicherweise das Ausführen von Schadcode begünstigt, wurde schon öfter diskutiert. Aber auch der reine pure Text kann seine Tücken haben - kanntet ihr schon "RLO" in Unicode?
http://www.ceilers-news.de/serendipity/156-Der-Right-to-Left-Override-RLO-Unicode-Trick.html
FYI
Olaf
st.lu 
Olaf19 „Right to Left-Override in Unicode“
(Ich sag es mal wie die Jugend):
Echt krass.
mawe2 Olaf19 „Right to Left-Override in Unicode“
Interessanter Artikel, danke für den Tipp!
Wichtig fand ich vor allem diese Feststellung:
"In Unicode ist RLO ein gewolltes Feature, aber muss ein Dateiname wirklich Steuerzeichen enthalten? Ist das nicht doch eher ein Bug als ein Feature?"
Beim Lesen kam mir diese Frage auch schon (kurz vorher) in den Sinn. Aber gut zu wissen, dass es nunmal so ist.
Eines ist allerdings auch klar: Ich würde nie einen solchen Anhang öffnen. Weder, wenn der Dateiname auf "slx.exe" endet und auch nicht auf "exe.xls". Diese Arbeitsweise (also das Öffnen eines beliebigen eMail-Anhangs in einer fremden eMail) setzt schon ein hohes Maß an Naivität voraus.
Wenn ich eine per eMail zugeschickte Datei öffne, weiß ich schon vorher sehr gut, was mich da erwartet. Und von wem die Datei kommt. Dass dies unterwegs manipuliert sein könnte und jemand die "gute" XLS-Datei gegen eine "böse" EXE-Datei augetauscht haben könnte, schließe ich einfach mal aus.
Ganz sicher geht man, wenn man auch hier auf eine zuverlässige PGP-Verschlüsselung setzt und daher eine Manipulation der Mail unmöglich ist.
Gruß, mawe2
Olaf19 mawe2 „Interessanter Artikel, danke für den Tipp! Wichtig fand ich ...“
Wenn ich eine per eMail zugeschickte Datei öffne, weiß ich schon vorher sehr gut, was mich da erwartet. Und von wem die Datei kommt.
Ich würde nie einen solchen Anhang öffnen. Weder, wenn der Dateiname auf "slx.exe" endet und auch nicht auf "exe.xls".
Möchte man meinen. Mir ging es hier auch mehr um die Faszination, dass so etwas technisch überhaupt möglich ist. Und es ist für Schadsoftwareverbreiter wieder eine Hürde weniger, denn manche User werden sich auf ihre Sicht der Dateiendung verlassen.
Dass derartige Steuerzeichen in Dateinamen erlaubt sind, hätte ich auch nicht erwartet. Da sind schon viel harmlosere Sachen wie z.B. Kleiner-als, Größer-als oder das Pipe-Zeichen verboten, obwohl die keine strukturierende Bedeutung für Pfadnamen haben, so wie etwas Slash oder Doppelpunkt.
VG
Olaf
