Зацените мою новую статью+ВК:
Запрет запуска ert на низком уровне

Может файл выложить на мисту?

(1) Может запустить её сначала попробуешь?

Мдя, программа выполнила недопустимую операцию и будет закрыта.
Win XP Prof SP2, 1c25.

2(0) Имхо, правильней (и проще) было бы перехватить функцию загрузки ert в движке 1С.

(3) 2000 prof. Все работает. Возможно, в XP добавилось системных DLL, щас поставлю попытку-исключение.

(4) Я на всякий случай все вызовы всех DLL перехватываю, потому что вариантов может быть много. И от релиза к релизу они могут меняться.

Пишется троян который удаляет все плохие ert :)

А просче определить owner-а и залочить файл (просто даже открыть на запись)
Или вообще доступ на уровне ОС, простенько и со вкусом, можно и из самой 1с выставлять эти права...

Изменил DLL, чтобы не падала при попытке патчить системные DLL
(в 2000 это ntdll.dll и MFC42LOC.DLL, в XP наверное что-то еще добавилось).
Убрал привязку к конкретным DLL и вставил try-catch - должно работать и в XP.
Проверить к сожалению пока не на чем.

(1) Да, наверное лучше на мисту, а реально ли сделать доступ со своим паролем и счетчик скачиваний? Может, где-то есть готовые образчики файлохранилищ...

(6) Пишется троян который удаляет все ert...

(8) Готовых нам не надо, сами с усами.

(7) Имеется в виду, что 1С позволяет запретить только интерактивное открытие ert, тогда как Пит/427 утверждает, что есть множество различных способов открыть ert программным путем. Запуск внешних ert в системе 1С позволяет получить произвольный доступ к информационной базе (читать или изменять любую информацию в базе 1С).

(8) Патчинг, конечно, я делаю не самих файлов DLL, а их образа в ОЗУ текущего процесса 1С. Типа чтобы запретить доступ к файлам по условию.

(9) Мысль не понял. Какой еще троян, и где пишется... Код открытый - кто хочет может перекомпилировать в Delphi 6.

(13) Мысль была такова, что если удалить с компьютера все ert, то не надо будет заниматься такими извратами. Это вообще-то была шутка, но в каждой шутке всего лишь доля шутки.

(14) Цель - запретить запуск привнесенных извне ert. Чтобы хакер не мог, например, слить базу.

2(11) Запуск любой ert проходит через определенную функцию движка.
Коцанье системных dll выходит боком на некоторых системах и очень ненадежно. Одно время через ту же фишку у меня раскраска была сделана... намучался на всю оставшуюся жизнь.

Насчет извратов - конечно лучше было бы, если бы в 1С можно было Конфигуратором запретить еще и программное открытие ert, а не только интерактивное.

Кстати у кого-нибудь в XP заработало? Я тока завтра смогу проверить.

очень полезная статья... и ВК тоже полезная... думаю вот скачать... но 63 метра для меня слишком много ;))

Ты где Метры увидел?

(19)в статье

(17) Мда, заработало. Только фигня это всё. Обходится в два счета.

(18) 63 Килобайта.

(16) Чем же оно "ненадежно", если я тут же передаю управление на оригинальную DLL?
Стек не портится, ничего не портится. Любые запреты - если файл содержит подстроку ".ert", в остальных случаях-все прозрачно. Или в чем может быть подвох?

2(22) Ненадежно тем, что сама винда в разных версиях по разному со своими системными dll работает (размещает их в памяти).

(8) >>Проверить к сожалению пока не на чем.

Поставь Virtual PC.

(22)эт я так глюпо по-шутил... ты просил оценить... это я так заценил...

(20) К - это килобайты, 1024 байта. Щас проверил - в статье написано ~63К.
(21) Спасибо, на самом деле ошибка была глупой. Насчет "обходится" -
на самом деле еще надо закрыть парочку лазеек. Известные мне на текущий момент (с указанием, как их прикрыть) перечислены здесь:
Взлом и защита 1С:Предприятие 7.7

(26)а вот теперь ответь на вопрос... зачема она нужна

(23) Я же не на конкретные адреса затачиваюсь, а правлю таблицу импорта DLL по символьным именам. Так что имхо это безопасно. Тем более, у Рихтера перехват DLL сделан именно так, а это что-нибудь, да значит.

(24) Да вот уже (21) проверил. В XP теперь тоже работает.
Как-нибудь поставлю, а то действительно иногда получаются обломы с ВК.

(28)ставь сразу сразными паками... ХР и ХР SP2 очень разные...

(27) Для обламывания Пита. Он теперь не сможет поломать защиту 7.7 запуском привнесенных извне ert.

(30) Переименовал обработку "УдалитьВсё.ert" в "УдалитьВсё.er", при открытии указал тип файла "Внешняя обработка", вручную прописал имя файла, и благополучно всё снёс. :-) Спасибо тебе, romix.

(30)ясно... то есть если мне не надо обламывать Пита... что мне делать?

(32) Обломать кого-нибудь другого. :)

Блин... накропать, что ли и свой вариант? :)

А она что - по расширению проверяет ?

(34) Хорошо бы сначала новый релиз FormEx ;))

Просто это - в файл - открыть выбираете расширение *.ert и там прямо пишете "обработка.ert2" в наименовании файла.
И 1С открывает как обработку.
Или это не то ?

Блин (31) не увидел :)

(33)видать юбломать не судьба... видишь как сразу дырок наковыряли...

(34) Накропай... и я алтернативу предложу ;)

(37)(38) Жжошь!

(31) Понтий Пилять. :-) Блин что же делать-то? :-)

(42)не знаешь... спроси у АЛьФа

(42) Забить на это дело.

Нет никакого смысла защищать базу на клиенте.

(44) Почемуже забить, все просче запрещать надо доступ не к файлу, а к "компаунду", или к "компаунд-файлу"...

(46)думаешь?

(46) И к md?

(34) Если будет не влом. Или скажи вызов, я пожалуй сделаю как ты говоришь.
(45) Ну хотя бы на терминале.
(46) А вот как узнать его, что он компаунд? Может там байты в начале идут характерные?

(46) И к *.doc?

(48) MD на момент запуска ВК уже открыт.
(50) Перехватываются только 1С-ные действия. Остальные процессы в системе (и даже другие конфы 1С) работают без изменений.

(50) про xls не забудь.

(51) тогда проверяй начало на ??рб?с

(53) Видимо, достаточный признак компаунда - первые 2 байта - D0, CF (208, 207)...

(54) Бери все восемь.

(54) StgIsStorageFile

Што ж там у вас за нетленки такие...

А что если про патченные системные dll положить в BIN, тогда можно сильно не заботиться об ее безопасности?

Стремно все блин... Надо файл открыть, прочитать, закрыть, опять открыть... Хотя, может и прокатит...

Как вариант, если ничего не поможет, или будет сбоить, я сделаю как говорит АльФ. А найти нужный вызов при помощи SoftIce теперь будет намного проще - можно зацепиться за диалоговые окошки MessageBox.

(59) кулхацкер... оно тебе надо? Это как в головке сыра залепить две-три дырки, все равно дырявый насквозь.

(60) Зато это вам не отчетики править - мозги тренировать надо :(

(56) Заработало! Поюзал StgIsStorageFile - теперь все блокирует.
(60) Еще сыр можно расплавить. Самый радикальный метод. :-)

Щас тока выложу...

(62) А ты используй правильный метод тестирования надежности системы ИТ-безопасности - предлагай вознаграждение за каждую дырку в своей компоненте :-)

Выложил. Теперь компонента блокирует все compound-файлы (ert), не обращая внимание на их расширение.

(64) 1С пусть и платит :-)

Чет не понял - это нужно пройти по всем компам и запустить 1С под Администратором ?

(66) Чтобы прописать ВК (и любую COM-DLL) в систему - да.
Ты же не можешь установить любую прогу (например, ту же 1С), не имея на это прав?
Но если ты неуверенно себя чувствуешь в этом вопросе, то наверное тебе лучше особо с такими вещами не развлекаться. Да и пользу эта ВК может принести, пожалуй, только в терминальном режиме, потому что иначе у тебя унесут базу 1С целиком, скопировав файлы DBF или базу SQL.

Прикольно... Я куею...

Пусть пару недель понаслаждается псевдозакрытием дыры...

Ладно, про расширение произвольного типа ромиксу сказали...
Но вот как код запустить не из компаунд-файла - он, похоже не знает...
И да пребудет он в неведении...

(68) Если внешние программы/скрипты, то они прикроются RestrictRun 'ом.
Если код 1С, то видимо остается еще #ЗагрузитьИзФайла, но рекомендация закрыть вынесенные текстовички от всеобщего доступа кажется самоочевидной.

А кто-нибудь знает про возможность выполнить код не из компаунд-файла?

1. РестриктРан - обходится... но для обхода по моей технологии его не надо трогать вообще ...

  Сам по себе чистый РестриктРан обходится как два байта об асфальт, просто его надо усиливать еще одним штатным механизмом. Вот тогда пробить его становится гораздо сложнее...

2. Используется сама 1С.
3. Да, эта технология сложнее и на терминале мало применима, но возможна...


Мой первый обход твоей ВК как раз и был через смену расширения
просто наблюдал однажды наивный оператор

ОткрытьФорму ("Отчет","ИмяОтчета.DBF")

Стало интересно, почему ДБФ - выяснил, что игнор расширения полный

Второй способ обхода гораздо сложнее, не используется #загрузить
Проверил - оно работает и обламывает твою ВК

Ромикс, не мучай свою задницу, если не можешь красиво сесть на унитаз...

В силу человеческой лени ни один админ не будет применять все твои методы, тем более что они обходятся...
Надо либо полностью убирать эту возможность в платформе, занося все в МД (тогда у него будет нехилый размер), либо делать контроль подключения на других принципах, штатно в 77 не реализованных... В 8-ке проще все... Но проблема все равно не снята... Впрочем, покажите мне систему, где проблема инсайдера снята....

А всеми твоими затычками типа ОБ проблема не решается...


Особенно когда ИНСАЙДЕР КРАДЕТ те данные, к которым он имеет доступ в СИЛУ СЛУЖЕБНЫХ обязанностей...



P.S. кстати, программа контроля прав доступа к устройствам на сети (Lock Device или DeviceLock - как то так называется, мне понравилась... Сказали клиенту, он уже покупает...

(70) "возможность выполнить код не из компаунд-файла"

есть такая возможность и она очень и очень не очевидна...
и кстати, это не я придумал, я всего лишь использую....

(71) Если "в силу лени" админ че-то там не будет делать, то это проблемы админа, а не 1С 7.7. Тем более, что установил прогу, которая все блокирует, 1 раз, и ничего больше делать не надо.

(72) Насчет другого способа обломать DLL и выполнить код из внешнего файла, я теряюсь в догадках. Особенно, если применить все другие описанные способы защиты.

В терминале, где запрещены посторонние проги и прикрыто окно "Открыть файл", наверное, такой взлом не работает.

(18) Не отчаивайся. ;-)

(67) Это что ж -МНЕ придется бегать по всем компам и запускать там 1С под администратором ??!!!!
причем пароль от Администратора я могу и не знать , это надо будет брать одного человека - чтобы он вошел в винду, потом установить 1С - наверняка она была поставлена только для работающего пользователя, и потом мне зайти в 1С.
Пользователей пара сотен, соответственно компов тоже.
Не - ну его нафиг :)

(75) На самом деле размер (вместе с исходником) 63К, это он прикалывается.
(76) Никто не заставляет. Тема в основном для терминала (иначе лучше не связываться), а там не надо бегать по компам и прописывать...

(76) какого фига вдруг бегать по компам юзеров (терминал не терминал пох)? Один раз с любого компа с правами админа зашел, компонента зарегистрировалась и все. Только путь к базе у всех юзеров должен быть прописан одинаково.

romix, а про создать->таблица забыл ?
Не злорадствую, медленно но верно прийдешь к верным методам...(масло-масленное я сказал)

Самое главное, что Ромикс трахается совершенно бесполезно...
Есть стандартная функция 1С - Сохранить КАК, и юзеры часто пользуются этим для сохранения данных (например, отчет до правки данных и после исправления).
Или часто сохраняют отчеты в формате Экселя, чтобы отдать его начальникам для работы...

ВК от ромикса закроет им эту стандартную возможность...

После лишения этого нормальный, грамотный юзер нижнего звена напишет служебную записку начальству, что "такой сякой расп...дяй программист типа Ромикс ограничил возможности 1С и я не могу предоставить Вам требуемый отчет в электронном виде"....

Реакцию 99% начальников нетрудно представить... Вазелина Ромиксу надо будет много...

Причем самое интересное - запрет на сохранение/открытие файлов АБСОЛЮТНО бессмыслен, ибо если юзер может делать отчеты - он весьма талантливо для целей кражи сформирует отчет через ссылки, скопирует данные через буфер хоть куда и сохранит в другой проге...

Так что ничего, кроме гемороя, наш герой-писатель  ВК не поимеет...

Кстати, юзер будет прав - СОХРАНИТЬ КАК является стандартной возможностью платформы, и отключать ее в целях обеспечения секретности просто глупо - потери больше, чем от непродуктивной работы...

Так что ВК от ромикса - это дубина о двух концах, причем оба направлены в сторону программиста...

P.S. проблемы защиты от инсайдера на 95-97% - решаются административно и только на 3-5% программно...

2(78) Это с одного компа она сразу на всех компах в реестрах пропишется? :)

Хм... Куда бы закинуть свой вариант?...

(81) Это он того... немного жжОт...

(82) А вдруг есть жизнь не Марсе ?!
ТелепатБот - ответь!!

"Есть ли жизнь на Марсе, нету ли жизни на Марсе...."  - продолжение должен сам знать... А то меня забанят... за мат...

Значица так...
По адресу http://www.dorex.ru/files/1cpp.rar (360Кб) выложена сборка 1С++ с попыткой реализации сабжа. Работает это дело следующим образом: загружаем ВК; при запуске любого внешнего отчета вызывается глобальная процедура "ПриЗагрузкеВнешнегоОтчета(Имя)", в которую в качестве параметра передается полное имя (с путем) запускаемой обработки; если в этой процедуре установить статус возврата в ноль, то запуск внешней обработки отменяется.
Сделано все путем перехвата функции движка, поэтому никакие хитрости пройти не должны.
Интересно будет узнать получится ли у кого-то обойти эту реализацию :)

(85) Там больше ничего не надо кроме этого архива ?

(85)А что ж исходники не дал посмотреть?...... жадина

2(86) Ничего.
2(87) Ну... эта... Все 11 метров исходников 1С++ будешь смотреть? Тогда подключись к репозиторию и скачай.

(88)Гхм.... Ясненько.
Просто "перехвата функции движка" - для меня тарабарская грамота, даже не представляю как это сделано. Ну да ладно

2(89) Не, ну это просто.
Вот так перехватывается функция в editr.dll:
//?DoLoadExternal@CEditDoc@@IAEHPBD@Z
   adr1=(BYTE*)GetProcAddress(hEd,"?DoLoadExternal@CEditDoc@@IAEHPBD@Z");
   VirtualProtect(adr1,6,PAGE_EXECUTE_READWRITE,&old);

   jmpDoLoadExternal = (PF_DOLOADEX)WrapDoLoadExternal;
   adrDoLoadExternal = adr1;
   for(i = 0; i<6;i++) origDoLoadExternal[i] = *adr1++;
   adr1 = adrDoLoadExternal;
   *adr1++=0xFF;
   *adr1++=0x25;
   *(DWORD*)adr1=(DWORD)&jmpDoLoadExternal;
   adr1 = adrDoLoadExternal;
   for(i = 0; i<6;i++) wrapDoLoadExternal[i] = *adr1++;

Потом уже сам движок вызывает мою функцию:
int CWrapModule::WrapDoLoadExternal(LPCSTR a_strFileName)
{
   int ret = 0;
   memcpy(adrDoLoadExternal, origDoLoadExternal, 6);

   CEditDoc* This = (CEditDoc*)this;

   CString s_strFileName = a_strFileName;
   if(s_strFileName.Right(14).CompareNoCase("\\Dialog Stream") == 0)
   {
       s_strFileName = s_strFileName.Left(s_strFileName.GetLength() - 14);
   }
   CValue vFileName = s_strFileName;
   CValue *lArray[1] = {&vFileName};
       _CallFromGlobalModules(NULL,NULL,"ПриЗагрузкеВнешнегоОтчета","OnLoadAsExternalForm",1,lArray);
   CBLModule7* pGlobalModule = GetGlobalModule();
   if(pGlobalModule->GetStatusCode() == 0)
   {
       ret = 0;
       pGlobalModule->SetStatusCode(1);
   }
   else
   {
       conv.pV = adrDoLoadExternal;
       ret = (This->*(conv.pDoLoadExternal))(a_strFileName);
   }

   memcpy(adrDoLoadExternal, wrapDoLoadExternal, 6);

   return ret;
}

Как видишь, все элементарно.

А я угадаю эту мелодию по 5 нотам...
(тока АЛЬФ опять скажет, что через одно место)
Думаю и мой любимый офис не понадобится...

2(91) Угадывай. Только сомневаюсь, что можно придумать лучший способ, чем заглушка на функцию движка.

(80) Имхо если ты открываешь юзеру файловую систему (окно файл-открыть), то автоматически даешь емо возможность слить базу 1С (DBF или DBA+SQL).

(85) Здорово. :-)
Мне нравится эта идея с предопределенной процедурой.
Предлагаю в статью дописать рекламу этой разработки.

(90) На Паскале у меня юнит, который патчит адреса функции в DLL. В Паскале имхо все гораздо проще, но смысл и системные вызовы те же. :-)

(89) Перехват функций DLL описан в книге Рихтера "Windows для профессионалов" (мега-книга, просто о сложных вещах+куча примеров).

(90, 94)Спасибо, попробую вникнуть.

(78) > "MMF: Один раз с любого компа с правами админа зашел, компонента зарегистрировалась и все. Только путь к базе у всех юзеров должен быть прописан одинаково".

А ничо что ВК должна прописать себя в ЛОКАЛЬНОМ реестре?

(79) >" smaharbA: romix, а про создать->таблица забыл ? :
А это опасно?

(96) А забыл что туда можно расшифровку вставить...?

(92) Я не хочу сказать что лучче, просто "подручными средствами"...

(97) Че-то у меня она код не выполняет:

Сообщить("*") туда пишу - ничего не происходит...

А как можно извернуться чтобы оттуда код выполнить или что-то лишнее открыть?

ну если уж защищают с помощью ВК, то почему бы не сломать с помощью ВК...

На одном из сайтов брал пример, когда с помощью ВК (АстивеМД? 1с++? Иное?) демонстрировалось создание кода обработки "на лету"... ДЛЛ в составе примера точно была...


P.S. пример за ненадобностью выбросил...

Кстати, регламентированная отчетность - вся внешняя и защищаться тяжело - там есть масса дырок...

(85) АЛьФ, а в рабочую версию не планируешь выложить?
Все это в некотором роде достаточно интересно. Кому-то надо, кому-то нет. Но порой помогло бы избавиться от лишних извратов.

(99) можно... Я в свое время приводил пример....

2(100) Ты скажи лучше выполняет ли (0) сабж на твой взгляд. Все ли быры запуска внешних обработок закрывает?
А чтобы сломать с помощью ВК необходимо ее сначала подгрузить. И запустить на выполнение какой-то код с ее использованием. А если можно выполнить какой-то код, то зачем тогда вообще ВК нужна? :)

Но вообще для довольно посредственной защиты типовой надо очень серьезно протрахаться с ней... Стоит ли овчинка выделки...

А если еще надо обновлять...

2(102) Солью в рабочую. Не удалять же, раз написано :)

(101)Из тругой конфы подменить модуль- элементарно сомпаудом или АктивМД(не помню как он с запороленными) Или ТурбоМД наконец

2(105) Ты не расширяй задачу так глобально. По-моему, в этой ветке предложено обсудить один конкретный пункт защиты базы - запрет запуска внешних обработок.

(108) А в этой сборке исправлен глюк с екстформом связанный с отловом мышки?

2(109) Какой именно? Он записан в багзилле проекта?

(104) Я думаю, при условии применения нестандартных средств (ВК) совместно с нехилой переработкой кода типовой, да все это в терминал, да использовать сиквел, и еще отключть буфер обмена, и все внешние девайсы - все равно информацию скрадут - просто пересняв ее с экрана...

Но мы нахлебаемся гемороя по самое не хочу БЕЗ ГАРАНТИИ 100% защиты... При этом прощай обновления...
ВК к тому же надо плотно тестировать на предмет правильности работы - а это опять время и деньги...


P.S. я стараюсь большую часть своих обработок сделать внешними, чтобы иметь меньше неприятностей при изменении МД и для уменьшения размера МД...


Так что все эти защиты будут дорого стоить и не выполнять требуемого...

P.S. Защита долна быть на уровне платформы заложена разработчиком - тогда резко упрощаются все проблемы программной защиты (и кстати, в случае сбоя восстановление системы становится невозможным)... т.е. становится очень актуальным регулярное полное копирование, что опять таки в условиях большого количества юзеров очень напрягает..

К тому же все равно остается 95% - на административных решениях...

Выброс денег на ветер - защита 77... Для 8-ки проще, но это пока ее не раскрутили...

(108) "запрет запуска внешних обработок." - запрет, возможно, и наложим такими способами, но вот запустить анализ базы сторонними средствами - нет... Причем все средства для анализа есть в системе даже под терминалом...

P.S. есть еще идея, но лень проверять... Есть дырень шире ворот, про которую никто не упомянул... Если в нее нетривиально (неочевидно) залезть....

причем ромикс (похоже, что и ты) видят все на экране, но просто не сообразят, ЧТО я имею в виду...

2(111) Еще раз: не расширяй задачу так глобально. Речь не о защите 7.7 в целом, а только о запрете запуска внешних обработок.
Интересует простой вопрос: сможешь ли ты запусть какую-нибудь внешнюю обработку через любую известную тебе дыру, если скачаешь компоненту из (85) и пропишешь в глюбалнике ее загрузку и код:
Процедура ПриЗагрузкеВнешнегоОтчета(ИмяОтчета)
 СтатусВозврата(0);
КонецПроцедуры

Ответ на этот вопрос может быть только однизначным: да или нет.

(114) Крепость пока держится ;))
Продолжаю штурмовать.
(to у лю 427) Далеко не все рубят бабло на обновлениях типовых.

Я вот согласен с тем, что закрывать загруску внешних отчетов глупо - они просто нужы! Мне бы пригленулось решение, когда можно запускать только "зарегистрированные" в системе ерт-шки, причем при запуске проверялась бы их цифровая подпись (чтоб не подменили). Нечто похожее я начинал делать, но не доделал. С использованием механизма перехвата системной функции, можно было бы сделать все красиво.

(112) Дырень в студию.
А то намекаешь, а возможно, это и не дырень.

2(116) Дык, для того и сделано в (85) через вызов предопределенной процедуры. В этой процедуре ты можешь эту обработку какими угодно алгоритмами проверить.

Я потому и спрашивал, как это сделано, чтоб заточить под себя :)

(116) Это было бы лучшим решением, если бы это было на уровне платформы...

(114) Скорее ДА, чем НЕТ, но я пока не смотрел дыру... Но похоже там надо для покражи другие механизмы использовать...


(117) А ключ от квартиры с деньгами дай сначала....

(120)Насколько я понимаю, подход АльФа и есть на уровне платформы, просто сделано не разработчиками :)

(120) У тебя личная выгода от дырени? Тогда извини.
Если нет, то к чему такая страшная тайна?

(116) У меня кстати в 0 именно так - отчеты из ExtForms запускать можно, а остальные - нет. Конфу править не надо.

(+123) Папку ExtForms при этом, конечно, надо закрыть от всеобщего доступа на запись.

2(120) "Скорее ДА, чем НЕТ" - это не ответ. Ты или смог запустить внешнюю обратоку на указанных условиях, или нет. Третьего не дано. Нельзя быть "немного беременной".
Если смог, то напиши как, чтобы можно было воспроизвести. Можно почтой, если боишься обсуждать дыры публично.

(125) Судя по всему, там дыра в голове ;)
Процедура работает. Сдаюсь.

(110) Да вроде заносил. я говорил месяца 4 назад, что отлов движения мыши грузит нехило проц, и на терминале это становится ужастно. ножно было по умолчанию отключить данную функцию

2(127) Ааааа... Это сделано уже давно. Методы Сервис::ПерехватМыши и Сервис::ПерехватКлавиатуры включают/выключают перехваты. По умолчанию перехваты все же включены.

(128) А когда же в FormEx будет?

2(129) Рррррррр.... Как только будет время дописать документацию.

(130) Я бы и без документации схавал.
Извиняй, просто заждался ;)

(130) Может вышлешь погонять?

2(132) Закинь мне письмо на formex@dorex.ru
Вечером постараюсь закинуть.

(133) Ушло. Заранее благодарен.

(128) т.е. а 1С++ этого уже нет?

2(135) Скорее "в 1С++ это уже есть".

(136) а als существует?

2(137) Еще нет.

А как тогда отключит?
СервисРасшФормы = СоздатьОбъект("СервисРасшФормы");
сервисрасшформы. ???
Что сказать в общем ля мыши и клавиатуры, чтобы отключились?

2(139) Отключение:
Сервис = СоздатьОбъект("Сервис");
Сервис.ПерехватМыши(0);
Сервис.ПерехватКлавиатуры(0);
Подключение:
Сервис = СоздатьОбъект("Сервис");
Если Сервис.ПерехватМыши() = 0 Тогда
    Сервис.ПерехватМыши(1);
КонецЕсли;
Если Сервис.ПерехватКлавиатуры() = 0 Тогда
    Сервис.ПерехватКлавиатуры(1);
КонецЕсли;

Условия в этом примере не обязательны. Просто демонстрируют, что можно проверить включен перехват или нет.

(140) спасибо

А еще у меня глючит перехват клавы в FormEx...
Или FormEx уже умер, и надо переходить на 1С++?

2(142) "Или FormEx уже умер" - Типун тебе на язык!!!!
"А еще у меня глючит перехват клавы в FormEx." - а у меня не глючит. Удивительно, правда?
Сегодня DmitrO хорошую фразу сказал:
"На фразу "не работает" пора уже фильтр в форуме ставить.
Не бывает так, что "Не работает", бывает что происходит ошибка: ..."

(143) А где можно скачивать и обсуждать FormEx? Предлагаю в Книге знаний статью завести с актуальными ссылками... Волшебник навтыкал туда ключевых слов для робота, и в рейтинге гугла и яндекса сразу статьи взлетели резко вверх. :-)

2(144) Не все сразу. Подожди, запущу сайт, будет актуальная ссылка для скачивания. А обсуждать можно в рамках той же 1С++.

(145) А сейчас какая актуальная? У меня чувство что я все время что-то неправильное скачиваю, а официальной ссылки нет. В kb кстати можно будет сразу же перекинуть ссылку на правильный ресурс.

2(146) На данный момент актуальна ссылка: http://www.kvf-project.ru/?projects:pro6

(147) Скачал, thanxx

Попоробовал новую 1с++. блин тормоза ощутимые от нее,
Если без загруженной компоненты при листании журнала общего проц грузился на 40%
при загруженной компоненте до 90%
причем визуально видны задержки обновленя экрана при листании жутнала.

           Сервис = СоздатьОбъект("СервисРасшФормы");
           Сервис.ВыключитьРаскраскуТаблиц();
           Сервис.ПоказыватьИндикаторКлавиатуры(0);
           Сервис.ПерехватМыши(0);
           Сервис.ПерехватКлавиатуры(0);
блин печально :(

150

Че делать то стормозами 1С++ ?
А можно ли функционал по внешним отчетам и обработкам в отдельную ДЛЛ сделать?

2(151) С тормозами буду разбираться.
Вынести в отдельную компоненту можно, но "за так" не хочется заморачиваться. Если есть время, можешь сам попробовать это сделать.

(152) Цена вопроса?

(153) Вообще какая будет цена вопроса, что-бы доделать безтормознутость 1с++
я думаю мне удастся свое руководство "подписатся" на этот проект

2(153) Цена выноса баксов 50.
С тормознутостью надо плотно разбираться и брать за это деньги смысла нет. Получится исправить, будет бесплатно. Не получится, так никакие деньги не помогут.

+(155) И вообще это лучше все почтой обсуждать.

А я знаю как тормоза убрать
...
//ЗагрузитьВнешнююКомпаненту(...);
...
И все ;)

2(157) Еще хорошо помогает удаление каталога "BIN". Не только тормоза убирает, а вообще решает все проблемы с 1С (в т.ч. и сабжевую задачу).

(149) Листание журнала общего лучше не производить вообще. Чем тебя не устраивает листание отчетов?

(159) А почему? 1С++ не пользую, пользую FormEx и весьма широко.
Тормозов не замечал.

(155) ок как начальство приедет разберемся.
(160) ты под терминалом с 50 пользователями пробовал работать?
(159) а если надо журнал? зачем отчет нужен. представь 30-40 пользователей работают с документами и постоянно что-то появляется и изменяется. что теперь отчет обновлять постоянно или ТЗ?

(161) С 50 не работал.
А тормозит и с одним и с 50?

(161-3) Динамичность обновления журнала и порождает тормоза при пролистывании.
Если бы журналы были статическими (или хотя бы обновлялись по событию), то они бы не тормозили при пролистывании по определению.

(163) Зато на открытие такого журнала, ресурсов шло бы не мало

(164) Нет, при условии постраничной выборки (=статический курсор).

(125) я не могу сказать, ДА или НЕТ... Надо проверять, а времени нет.
К тому же сферический конь ....

честно говоря, меня и не жмет как то... есть такая ВК или нет... Ctrl-Ins   Shift-Ins работают прекрасно...

Тем более что такая ВК требует подготовки конфы и среды, а это фикси + далеко нетиповая конфа... Так что при необходимости жаждущие все равно прорвутся... Ведь эта ВК не закрывает многих каналов утечки инфы..

(166) ВК в (0) не требует изменения конфы, а запрещает запуск всего что не в ExtForms.

2(166) Т.е. ответ "НЕТ". Просто боишь признать, что против такого подхода ты бессилен.
Это какой же подготовки "конфы и среды" требует эта ВК? И чего ты уперся в закрытие сразу всех каналов утечки? Никто перед собой такой задачи и не ставит. Все прекрасно понимают, что это невозможно.

а тут подход такой - "раз через забор можно перелезть, то yf[ez на врота замок ставить?"

(168) У товарища просто страх перед изменением "типовых". "Сетапщик-обновитель".
P.S. Ты про (133) забыл?

А это... никто не хочет написать DLL по перехвату Запрос.Выполнить(ТекстЗапроса) ?

(171) А зачем?

(172) Ну например наверняка же можно текст запроса перевести язык прямых запросов

(+173) выполнить прямой запрос и вернуть результат

Опять же выгода не надо все запросы переписывать

У нас все отчеты  НЕ в extforms...

(176) А при чем тут ExtForms? Перехватывается запуск compound-файлов.

(176+) Там же код в (90).

2(170) Не забыл. Просто вчера не получилось.
2(173) Ты готов проинвистировать подобную разработку? Или считаешь, что штатный объект "Запрос" можно так же за 30 минут между делом переписать?

прямые запросы не свосем кошерны... и требует своего преписания по мере изменения конфигураций...

Имхо перехватывать запросы не очень интересно.
А вот перехватить момент начала блокировки (транзакции)....

2(180) А штатные запросы совсем не требуют переписания по мере изменения конфиги?

(179) Да нет проинвестировать нет... Но согласись Альф если ты себе добавиш в Formex перехват то тебе  цены не будет... :-)

(180) Ну вот смотри допустим есть у нас ДЛЛ которая прехватывает Запрос.Выполнить(ТекстЗапроса) и выполняет например Функцию ПриПерехватеЗапроса (ТестЗапроса, Флаг)

Функция ПриПерехватеЗапроса (ТестЗапроса, Флаг)

// Здесь ТестЗапроса переводим в прямой запрос
// выполняем прямой запрос
// Возврат Результат запроса
КонецФункции

(183) Месье знает толк в извращениях. :-)

(184) А мне вот наоборот кажется очень даже удобно чем каждый преписывать запросы в обновлениях конфы просто дабавлять обну процедуру в глобальный модуль

Хотя у меня и нет SQL...

2(185) Легко! НО!
Вопросы: У тебя уже есть функция парсинга текста штатного запроса в прямой запрос? Или ты можешь ее достаточно быстро написать?
А в каком виде должен возвращаться результат запроса? И как это результат потом должен впихиваться в штатный объект "Запрос"?

(187) 1. Я думую что если появится такая возможность то парсинг написать найдутся много людей и поумней меня.
2. А вот как впихнуть и в каком виде результаты  обратно в запрос это уже вопрос к тебе.

2(188) Молодец! Типа "не грузите меня всякой фигней, я стратегией занимаюсь".

(189) ага... Ведь ты же копаешся в движке и наверно знаеш в каком виде должен быть результат на выходе из ПриПерехватеЗапроса

(190) Имхо проще перелопачивать конфу, например, выбросив ее в текстовички.

(190) конечно легче.. пока нет парсера

Ну как хотите... мое дело идею предложить
Все пошел домой

2(193) Если б еще эта идея была нова :)

Интересно как бы перехватить начало блокировки (транзакции).
Может при этом файлик какой-то создается?

ОФФ: Ром, я там письмецо тебе накатал, глянешь?

Ничего не вижу:
x-romix # mail.ru ?

(196) Твой ящик скрыт. Мне ничего не пришло.

(197)Что за .....
Да на этот ящик.
Ща со служебнобного ящика отправил

200?

(200)Лошадка не простит!


        ___
        ',_`""\        .---,
           \   :-""``/`    |
            `;'     //`\   /
            /   __     |   ('.
           |_ ./O)\     \  `) \
          _/-.    `      `"`  |`-.
      .-=; `                  /   `-.
     /o o \   ,_,           .        '.
     L._._;_.-'           .            `'-.
       `'-.`             '                 `'-.
           `.         '                        `-._
             '-._. -'                              '.
                \                                    `\
                 |                                     \
                 |    |                                 ;   _.
                 \    |           |                     |-.((
                  ;.  \           /    /                |-.`\)
                  | '. ;         /    |                 |(_) )
                  |   \ \       /`    |                 ;'--'
                   \   '.\    /`      |                /
                    |   /`|  ;        \               /
                    |  |  |  |-._      '.           .'
                    /  |  |  |__.`'---"_;'-.     .-'
                   //__/  /  |    .-'``     _.-'`
                 jgs     //__/   //___.--''`



пля... Как меня зае... Альф с ромиксом...



Пришлось бросить работу, скачать приблуду от ромикса и ЦЕЛЫХ 25 МИНУТ корячиться с ее обходом...

При этом пришлось напрячь мозги, а также трижды оторвать ЖПО от стула, чтобы достать книжки с полки.
При решении возникли три метода наколки, но так как первый же дал результат - методы номер 2 и 3 не проверялись...

Проверялось в win 2000... Но наверняка действительно для 98/2000/ХР....

Самое прикольное - не требуется написать НИ ОДНОГО байта кода....

Описание методики обхода запрета на чтение только из ExtForms имеется у каждого на его компе... Надо только знать, где искать....

P.S. Отдельное спасибо Ромиксу за пример кода с перехватом функции....

А то, что он облажался - так это нормально, для затыка всех путей надо знать эти пути...

P.S. Запрет на полное чтение ERT я не обходил, но вроде как можно тоже обойти... Но надо проверять оставшиеся непроверенными два метода обхода...

Читать как "Полный запрет на чтение любых ЕРТ я не обходил"....

Просто некогда сейчас...

Маслица в огонь плесканул :)

лошадка простит... она в момент 200 была занята разговорами по телефону...

(204) Почему? Я реально обошел запрет на чтение НЕ из ЕхтФормс... файл ЕРТ у меня реально лежит не в ехтформс, а я его читаю и приблуда ромикса не срабатывает...


oooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooo
8              Surgut                                                      8
8                 Nizhnevartovsk                                           8
8       Tobolsk                                                            8
8   Tyumen                                                                 8
8 Kurgan                                                                   8
8_____                                        Ust-Ilimsk                   8
8     ?   Omsk          Tomsk   Achinsk Kansk     Ust-Kut                  8
8     `-,                 Kemerovo Krasnoyarsk Bratsk  _               _---8
8       t__---,      Novosibirsk                      f.'             f    8
8            (            Novokuznetsk                j|BAIKAL   Nerchinsk 8
8             \      Barnaul     Abakan        Angarsk j    Chita Shilka   8
8              ?       Biysk                   Irkutsk/         Borzya|    8
8              t_Rubtsovsk         Kyzyl  __  _  c__-~ Ulan-Ude .---r-'    8
8                 ~--_                   f  ~~ \     Kyakhta  _-'  /       8
8                     \       __---_     j      ~---~~~--___-~    `--~~-_  8
8                      ~\__r-~      ~~~~~                              __) 8
8 K A Z A K H S T A N__-~ (                                           /    8
8                 _-~      \_       M O N G O L I A                  f     8
8                / C H I N A ~-,                                     j     8
8oooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooooo8  


(202) А ты скачай приблуду от АЛьФа и покарячься с ее обходом.
Пока ты успешно только прямые вопросы (114) успешно обходишь.

2(202) Я дико извиняюсь. Ты тормоз? Я ж тебя настойчиво прошу посмотреть реализацию сабжа в (85). При чем тут решения romix'а?
И по поводу решения romix'а твое завление типа "я крут, я обошел, я супер стар" не стоят и выеденного яцйа без описания способа обхода. С тем же успехом я могу сказать, что написал приблуду, которая решает ВСЕ проблемы безопасности в 1С, но никому ее не дам, не покажу и не расскажу по какому принципу она работает.
Смешно.

(208) Сейчас реально некогда, да и нах не нужно
... Но освобожусь и попробую...

Идей навалом, аж целых 3 штуки...

(209) кидай мыло на karkarde(сабака)pisem.net - я скину ответ - способ взлома.
Ответ смешной - там ВСЕГО ОДНО СЛОВО!, которое требуется знать...

(85) да, идеи есть, но это надо плотно заниматься, не с разбегу... Сейчас времени нет...

(209) Это не смешно. Это диагноз. Весеннее обострение.

(212) Это подтверждение диагноза (два взаимоисключающих абзаца в посте 211).

(213) для (211)

Альфу...

по поводу (85)...
Года полтора назад я скачивал с инета пример ДЛЛ + пример внешней обработки, которая
1. Пишет пример кода в тхт файл
2. Динамически создает в памяти некую обработку (без чтения ERT), с 3-мя кнопками... и в модуле формы пишет #Загрузить
3. Запускает ее на выполнение...

Давалось как пример формирования выполнимого кода прямо из кода.
В архиве была ДЛЛ и демонстрационная ЕРТ, доки не было, я ее поглядел и бросил, неохота разбираться было. Теперь надо порыться в архивах - может осталась...
P.S. просто была идея использовать это в своих разработках, но видна труоемкость - поэтому и бросил эту идею...

Соответственно либо эта идея будет/не будет работать, смотря где ты перехватываешь запуск...

Есть еще идея, сделать все без ДЛЛ штатными методами самой 1С - но там я не вижу, как толкнуть обработку на выполнение...

(213) Лечиться надо...
Первый абзац по поводу защиты от ромикса, второй по поводу (85)

(216)

Путь 2 затыкается через конфигуратор, но можно это же сделать без табло...

+218  Запрет юзания табло и формульного калькулятора....

2(215) Великолепная идея! Какой замечательный способ обхода запрета запуска внешних обработок - встроить это обход прямо в конфигурацию. Замечательно! Порадовал старика :)
Только вот не проще ли тогда будет просто добавить, а потом заремарить в конфиге все, что связано с (85)? Как тебе такая идея? Должно сработать...

:))

(216) Создаем новую таблицу. Сохранить как: 1cм7.exe. Финиш.
Удалить не проще?

2(216) Я про удаление папки "BIN" уже говорил в этой ветке?...

(220)  кидай пустышку, я дам ответ, как сломать ромикса...
P.S. к ромиксу тоже относится - свои дырки знать надо...


P.S. просто ведь тот пример можно развить... если помыслить в нужном направлении...
Слом защиты от ромикса - пример этого. Если защиту нельзя пнуть в морду - надо ее просто обойти и пнуть сзади - и тогда она нам поможет... Причем сама...

(217) Так по поводу решения romix'а по-моему уже все ясно.
Открыт вопрос по (85).

(223) Одержимость великой, но неясной идеей - уточнение диагноза.

2(223) Да не интересно мне про ромикса. Я этот путь считаю порочным.

мдя... Вообще то правильно убрали... Совет, как элементарно сломать ВСЕ довески и защиты на базе внешних ДЛЛ...

Быстро мое 216 сообщение АЛьФ удалил, зачОт ;-)

2(227) Фигня это, а не совет.

2(228) Удалено за скрытую рекламу коммерческого ресурса.

2(228) Не разоришься, на форум через GPRS ходить?

(228) Пример нетривиального подхода... Просто, примитивно и самое главное - может эффективно сработать...
P.S. правильно убрали... Нефиг такие вещи светить...
а то засветили одну возможность по подвязке клиента на короткий поводок - за последние полтора года я уже трижды видел подвязку, причем типовых конф (без изменений), причем дважды это были франи....

(230) А можешь процитировать без рекламы? Интересно. А то не увидел.

(231) Не разорюсь ;-) Хочешь чтобы я его некоммерческим сделал? ;-)

2(232) И что же в этом нетривиального?

(230) Можно мылом, если секрет.

2(234) Хочу. А тебе не слабо? ;)

2(233) Ты ж ответил на удаленное сообщение...

А... Про 216... Так что там интересного?
При доступе к базе и так можно делать, что хочешь.

(234) Слабо, наверное. Неделя работы как-никак.

Без рекламы:
1 - создаем новую таблицу. Файл сохранить как 1cpp.dll. Финиш. При следующем запуске 1cpp.dll не загружается, соответственно запускаются ертшки.

2 - Создаем внешнюю компоненту, делаем в ней на что фантазии хватит а загружаем ее так: Сервис->Табло в появившемся окошке ЗагрузитьВнешнююКомпоненту("НашаПакостнаяКомпонента.dll")

Сорри (240) к (237)

2(240) Не тормози. Чушь это. Тебе уже было отвечено.

(242) Да знаю я, естественно, что это закрывается на уровне прав в винде и ограничений в конфигураторе. Просто в типовом случае это не закрывают.
Твое решение для данной задачи, при определенных мероприятиях, эффективно.

(242) А кстати, Винда дает переименовать открытый файл. Удалить не дает, а переименовать - пожалуйста. Пишем письмо в Майкрософт? ;))

Надо попробовать .mdf переименовать.

Не, mdf не дает.

(223) Скиньте пожалуйста способ взлома (0) на x-romix # mail.ru (щас не могу оттуда писать). Т.е. как запустить ERT не из ExtForms имея защиту (0).
Две точки у меня отслеживаются, а что может быть еще.

-------
Поскольку был по почте вопрос, сообщаю: дельфийский исходник перехвата DLL в (0) уже приложен.

(223) Не получилось короче воспроизвести уязвимости.
АльФ, у тебя-то хоть получилось?



                     .,,,,,,,,,,,,
                        ,;%%%%uuuuuuuuuuuuu%%%\
                     /%%%%%uuuu====####uuuuuu%%%%
                   /%%%%%uuuu.....===###uuuuu%%%%%%
            , '''''\%%%%%uuu....##.===##uuuu%%%%%%%%
           ,'''''''')####\%u....../==#/uuu%%%%%%%%%%%
           ,'''''/#########\%mmmmmmmmmmmmm%%%%%%%%%%%;
           #\''/##########(mmmmmmmmmmmmmmmmnu%%'%%%%%%%
           ###############(mmmmmmmmmmmmmmmmmnuu%%'%%%%%%;
           u\###########/ (mmmmmmmmmmmmmmmmmmnuu%%'%%%%%%%%
          uuuuuEEE         \mmmmmmmmmmmmmmmmmnuuu%%'%%%%%%%%%
          uuuuuEEE    .:::,#u,mmmmnnmmmmmmmmmnuuu%%;; %%%%%%%%%
           uuuuuu\##\:::::##uuummmmmmmmmmmmmmnuu%%;;;; :...%%%%%%
              uuuuu\#######/uuuuuuuuuu,mmmmmmnu%%...;;;  ::...%%%%
                 \uuuuuuuuuuuuuuuuuuuuuuuu,mmnu/ \...;;;   ::...%%%
                   >####&&################<%%%%    \;;;/    ::...%%%
               (#####&&&################%%%%%%%              ::..%%%
           (######&&&&##############(%%%%%%%%%%                ::%/
          (####&&&&&&#############(%%%%%%%%%%%%%
        (#######&&&&&############(%%%%%%%%%%%%%%%%
       (#########################(%%%%%%%%%%%%%%%%%%
       (# (######################(%%%%%%%%%%%%%%%%%%%%
          (#######################(%%%%%%%%%%%%%%%%%%%%%
         %%%(#####################(%%%%%%%%%%%%%%%%%%%%%%%
        %%%%%%(####################(%%%%%%%%%%%%%%%%%%%%%%%
       ;%%%%%%; (#################n'%%%%%%%%'%%%%%%%%%%%%%%%
      (%%%%%%%(  ;%nn############nn'%%%%%%%%'%%%%%%%%%%%%%%%%
       ;%%%%%%%  %%%nnnnnnnnnnnnn'%%%%%%%%%'%%%%%%%%%%%%%%%%%%(@@@)
        \%%%%%;  %%%%nnnnnnnn'%%%%%%%%%'%%'n%%%%%%%%%%%%%%%%%(@@@@@)
         (%(%/   %%%%%nnnnnn'%%%%%%%%%%%'nnnn%%%%%%%%%%%%%%%%(@@@@@@
                %%%%%%nnnnnn'%%%%%%%%'nnnnnnnn%%%%%%%%%%%%%%(@@@@@@@
               %%%%%%%nnnnnnn(%(%)nnnnnnnnnnnn%%%%%%%%%%%%%(@@@@@@@)
           .,;%%%%%%%%nnnnnnnnnnnnnnnnnnnnnnn%%%%%%%%%%%%%(@@@@@@@@
    ,nnnnnnn%%%%%%%%%nnnnnn)nnnnnnnnnnnnnnn%%%%%%%%%%%%%%(@@@@@@@)
 /nnnnnnnnnnn%%%%%%nnnnnnnnnnn)nnnnnnnnn%%%%%%%%%%%%%%%/  (@@@@)
(uu(uuuuuuuuuuuuuuuuuuuuuuuuuuu/   (uu;;;;;;;;;;;uu)
                                    (uu;;;;;;;;;;uu)
                                     (uuuuuuuuuuuuu)
                                       (uu)(uu)(uu)    Susie Oviatt



да вроде ж посылал прямо с командами письмо...
Прекрасно запускается. Но, если мне память не изменяет, это легко блокируется...
По крайней мере, то, что я проделал... Ибо эту фишку легко поймать программно.

А вот вторую и третью фишки я не проверял (надо искать детальное описание, их так просто не сделать, знаний не хватит). И проверять влом.

ИБО НА ПРАКТИКЕ ВСЕ ЭТИ МЕТОДЫ ЗАЩИТЫ ПРИМЕНЯТЬСЯ НЕ БУДУТ...



   |\               /|
   |\\             //|
   | \\           // |
   |_=\\         //=_|
   | _=||       ||=_ |
   \ _=||       ||=_ /
    \_ =\',:;:,'/= _/
      \__" `:` "__/
         )     (
        /       \
       |         |
       |_       _|
       (0\     /0)  
       |         |
       `.       .'
        |       |
        |       |
        ;       |
        :|     |;
        '/     \'
        (()   ())
 jgs     \     /
          `---'


250?

251 ?

(249)

____
 (.   \
   \  |  
    \ |___(\--/)
  __/    (  . . )
 "'._.    '-.O.'
      '-.  \ "|\
         '.,,/'.,,mrf


Команда подстановки пути ничего на самом деле не ломает. Ты просто меняешь один путь на другой. Если ExtForms был защищен от всеобщего доступа на запись, то о каком обходе защиты (и о чем вообще) может идти речь.

не рви задницу... Даже в этом случае можно красиво наипать твой запрет на запись (в силу особенностей 1С)....



            /'._     _,
            \   ;__.'  }
        (`-._;-" _.--.}'
        /_'    /`    _}     _.--"""-.
          `.   \_._.;     .'         \
            '-.__ /      /            |
   ромикс    _/  `\      \            /
            ^`   ^`       '._       .'
                             `"""""`


P.S. к тому же для этого НЕ НАДО писать в ехтформс...

(253) А можно сесть в лужу, если говорить непроверенные вещи, которые никто не может воспроизвести.


         (\____/)
          / @__@ \    
         (  (oo)  )  
          `-.~~.-'
           /    \            
         @/      \_          
        (/ /    \ \)
    jgs  WW`----'WW

    Пит, сидящий в луже.


Потому что низкоуровневую защиту, повешенную на kernel32.dll, не так-то легко обойти. Можно, конечно, выдвинуть кучу предположений, но на практике все они не выдерживают простого опыта.

хи-хи... Даже воспроизвести не можешь?
Я же в письме все описал, как сделать...

Прекрасно колется все...
Но это в том варианте ВК, который выложен, правится очень легко для закрытия моего обхода...

Так что не парься... Определяй тип назначения и все...

Будет время - проверю оставшиеся два варианта...

(257) Я сделал как в письме - ну и чо. Все по-прежнему закрыто.
На диск b: же компонента не пускает, так зачем его было создавать как синоним к ExtForms?

так... Похоже, клинический случай...

Вообще то сейчас проверю еще двойственное отображение - если пролезет, тогда это будет ваще... жпо...

(258) Ну ты проверь что-нибудь хотя бы... Одного, но работающего, способа будет вполне достаточно. ExtForms конечно же должен быть защищен от всеобщей записи.
У юзера не должно быть прав на RunAs и планировщик заданий. Запуск посторонних прог вне списка разрешенных должен быть запрещен.

Проверил первый способ с небольшой модификацией...

Вариант 1
Создал подпапку в ехтформс
Создал отображение через (сам знаешь что)...
Запустил ерт с отображения... Как с куста

Вариант 2
Создал подпапку в ехтформс
На ехтформс наложил ограничение - ТОЛЬКО ЧТЕНИЕ
Создал отображение через (сам знаешь что)...
Попробовал наколоть - хрен вам... Действительно работает ограничение при доступе только на чтение...

ВСПОМНИЛ рассказанную мужиками фичу, поместил ссылку на файл в отображение. Запустил...


P.S. Это старая фича виндов, она не позволяет заменять или удалять из такого каталога файлы, но позволяет разместить там новый файл (причем весьма и весьма нетривиально)... После этого все ограничения пофиг...

P.S. защита в виндах колется на косвенности второго порядка и объединении сразу трех механизмов....

P.S. в терминале такое не покатит - там эти механизмы не сработают. Их там просто нет... Только на сетевой версии...

(263) С первым случаем понятно - защита рулит.

Со вторым случаем - опять же защита рулит, т.к. вне терминала можно все что угодно с базой 7.7 делать. Она же не трехзвенка, и ее защитить может от простого уноса только терминал. А в терминале уже можно стучать клювом об стекло: оказывается, база вполне надежно защищена.

(+264) И даже Великий Пит не может ее взломать...

Ты опять лажаешься...
Во первых, будем смотреть правде в глаза - применение такой защиты будет очень редким.. Увы, менталитет...

Во вторых, наверняка остались дыры, о которых мы не знаем... Пока не знаем. Я не проверял оставшиеся идеи... Родилась еще идейка, но там надо перезагрузить сервер (что в общем то несложно - спровоцировать перезагрузку).

В третьих, в терминале работает достаочно мало контор (максимум 10%, а то и меньше).

В четвертых, в каталоге ехтформс или в самой конфе УЖЕ есть требуемые отчеты - надо только уметь ими грамотно воспользоваться...

В пятых, все это работает при условии модификации конфы. Если же это типовая конфа, то практически со 100% гарантией можно усверждать, что первое же обновление после смены программиста приведет к устранению защиты...

В шестых, данная защита будет сломана инсайдером вполне легально руками программиста - надо только грамотно построить свое поведение на фирме. Это скорее уже из психологии...

И самое неприятное и не поддающееся программеру - это отсутствие защиты от проколов ВНЕ компов...

P.S. инсайдер - это инсайдер...

(266)

1) Укреплению менталитета не способствует постоянная реклама якобы неустранимых брешей в 7-ке.

2) Не исключено, что существуют вполне защищенные решения. Иначе бы любой человек пришел в банкомат и хакнул его. :-) Т.е. интерфейс программы не позволяет получить доп. инфу (или изменить ее), а обходных путей - нет.

3) Возможно, что когда просекут фишку с полной защищенностью терминала, в терминале станут работать больше.

4) Различным группам юзеров Windows можно назначать доступ к различным группам внешних отчетов (а кому-то вообще их прикрыть).

5) Требуется всего лишь прописать единственный вызов ВК в глобальный модуль. Конечно, со стороны 1С было бы более кошерно встроить заплатку в код 1С-а.

6) Социальная инженерия - один из путей взлома системы. Кевин Митник вроде бы этим развлекался. Но это не значит, что надо всем желающим открыть базу (например, с прибылью или зарплатой сотрудников) на всеобщий доступ.

7) Хороший аргумент. :-) Бумажка на столе - как ствол пистолета у врага? :-)

Инсайдеры вроде бы взломали (точнее, утащили) немецкую шифровальную машину Энигма. Гитлер наверное зажигал в защищенных телеграммах. :-)

идейные противники

Стоимотсь защиты не должна превышать стоимости потерь от кражи информации.

Поэтому для большинства терминал еще долго будет дорогим (дорогая машина + дорогой специалист + очень дорогая эксплуатация из-за периодических траблов)...

  К тому же надо учитывать, что при падении терминала или проблеме с ним встает вся контора, что тоже не есть гуд...

  В данном случае (запуск внешних отчетов) грамотное решение на уровне платформы сосредоточило бы все проблемы в одном месте и не надо бы было иметь постоянный геморой с кучей установок в разных местах (права, политики, платформа и т.д.). т.е. независимость от среды. Решение от ромикса подразумевает пару грузовиков гемороя при смене среды (сервера).


И самое неприятное от такого решения - создание ИЛЛЮЗИИ защищенности при наличии реальных дыр.


  Решение на уровне платформы снимает кучу проблем... Причем это решение будет самым дешевым...
  В условиях постоянного изменения системы (новые отчеты, изменение старых, перераспределение обязанностей по сотрам) становится очень напряжным поддерживать защиту на принципах от ромикса. В защите появятся бреши...

  Надо смотреть правде в глаза - держать отдельного специалиста по защите на принципах от ромикса мало кто будет. Это либо крупные компании, либо сильно помешанные на безопасноти. Слишком дорогое решение.

P.S. у меня нет терминала под руками, поэтому сложно сказать, когда я обойду  ВК от ромикса. Но пути решения однозначно есть и видны даже сейчас...

(271) Ну не знаю... Лично я не сталкивался с проблемами при настройке или эксплуатации терминал-сервера. На клиенте достаточно выполнить программу сетапа (которая вроде бы ничего особенного не спрашивает: Далее-Далее-Далее-ОК). В окне подключения ввести сервер, имя, пароль (пользователя Windows). Где тут обещанные грузовики геморроя, я не вижу. В серверных виндах терминал-сервер уже встроен, и бесплатен на 2 административных подключения.

Сразу решается проблема с кешированием (ЗиК например работает в терминале на порядок кошернее), слабыми машинами (можно работать хоть на 486 - все равно по сети передается только экран, клава и мышь), а также с защищенностью решения (не секрет, что в нетерминальном сетевом или SQL-варианте базу 1С можно по-просту слить, даже имея к ней минимальные права).


>"при падении терминала или проблеме с ним встает вся контора"


У дятлов конечно же никогда нет бэкапа (не говоря уже о бэкапе транзакций в течение дня), чтобы восстановить базу на резервный сервер. А если жесткий диск полетит? Сам по себе терминал не падает, и не вызывает проблем - это всего лишь служба, которая передает изображение экрана, клавиатуру и мышь по сети.

Насчет геморроя при настройке такой защиты: ну не знаю: вызов ВК вписать в ПриНачалеРаботыСистемы(). Если надо вырубить рабочий стол и проводник - это вставить в автозагрузку клиента (в реестр) еще одну-две проги. Если надо запретить запуск сторонних прог - еще одна команда в автозагрузку. После этого 1С приобретет подобие банкомата - можно долго ходить вокруг, щелкать клювом, и ничего нельзя сделать.

В терминале есть вот эта проблема.

http://openconf.itland.ru/vk/prior/

Она означает, что в конце ПриЗаписи() надо поставить низкий приоритет, в процедуре ОбработкаПроведения() - опять высокий, а при массовом перепроведении документов - самый низкий приоритет перед вызовом Провести().

Проблема опять же будет более кошерно разрешена, если 1С поправит движок - вставит в цикл обработки ожидания единственный вызов системной функции sleep().

Читая посты Ромикса, начинешь гадать - кто он... Дятел? Толпооп? Или здравомыслящий человек...

Половина маленьких и не очень контор работают без своего сисадмина. Рулит приходящий. А приходящему все покуй - лишь бы работало и к нему не было претензий. О каких правах доступа тут может идти речь... Часто на сервере расшерен не просто каталог с базой, а весь диск С:....  
  Бекапами здесь и не пахнет...

  Многие сисадмины - вчерашние студенты... Любимое занятие которого - торчать в инете... Ему пофиг все бекапы, права доступа и прочее - работает и ладно...

  Для тебя, для Альфа, для ММФ, для меня, для еще нескольких человек приложенные к твоей статье исходники ВК понятны - для абсолютного большинства они просто не понятны. Ибо понятий не хватает... У кого то есть интерес - тот разберется. У абсолютного большинства интереса нет и НЕ БУДЕТ...

  Если ты или я можем поднять терминал - это говорит о наших знаниях. Но ведь многие "админы" в конторах не в состоянии поднять даже элементарный сервер без АД.  давай смотреть правде в глаза - не надо всех равнять по себе и своим знаниям. Спроси 50 админов, что такое наследование прав - и 25 тебе ответить не смогут. И они не будут с этим заморачиваться - ибо они ставят полный доступ и забивают на все...
  Четверть "админов" не ответит на вопрос, в чем разница между "half duplex" и "full duplex" - они ставят всегда АВТО и не парятся. А если возникает проблема - просто меняют сетевую карту... Или трахаются, трахаются, трахаются....

  С бекапами отдельная песТня... Наладить авто бекап многие не могут - а вручную регулярно делать не хотят, забывают, ленятся... Или просто не подозревают, что бекап нужен как минимум ежедневный....

  Если ты все это и многое другое знаешь - то не уверен, что это знает 25-30% работающих на аналогичной должности...

Это "Доступно и всерьез" (цы) в жизни... Каждая кухарка может рулить государством и сетью... С соответствующими последствиями...

Сколько работодатель платит - ровно на столько же он получает...

Увы...

P.S. после того, как я перестал быть фикси, я очень редко поднимаю нормальный сервер с АД и настройкой прав...
Зачем? За те гроши, которые платятся за разовую установку?
А потом юзеры будут звонить и орать - почему файло не могу поменять? В .опу их... Вот вам всем все права и идите строем...


P.S. не заблуждайся в квалификации большинства админов и программистов. Не равняй их по себе - работай с реальными людьми... и их реальными возможностями...
Если реальные знания по конкретной специальности разбить на 10 интервалов, то грубо говоря, каждый последующий уровень знает количество специалистов по порядок меньшее, чем текущий...

Хочешь убедиться? Проверь своих юзеров по ворду...
1. Сколько из них может набить текст в ворде (ну тут практически 100%)
2. Сколько из них отступ в начале абзаца делает пробелом, а сколько - табуляцией
3. Сколько из них разбивает текст не вставкой разрыва, а сдвигая текст по ентеру...
4. Сколько из них может вставить картинку из файла в текст.
5. Сколько из них может задать нумерацию страниц в колонтитулах
6. Сколько из них знает, как удалить строку/столбец в таблице
7. Сколько из них может проверить текст на орфографию
8. Сколько их них может вставить в документ автоматически собираемое оглавление
9. Сколько их них может написать квадр. метр правильно, а не как  "м2"

Будь реалистичнее... и народ тебя поймет...

работать надо с теми людьми, которые есть...

(274) к сожалению все это так... и статьи подобного рода вызывают, увы, лишь академический интерес у узкого круга специалистов, впрочем специалистов и так меньше некуда...

(274) Клиника..
(0) Что означает "..на низком уровне...", это что - на уровне паскаля и перехвата апи?

(276) но радует, что у некоторых все таки это вызывает практический интерес... Только вот редко...

(277) что это было?..
(278) если честно сам не так глубоко ковырял, юзера до большинства и не додумываются обычно, потому и интерес больше теоретический, впрочем все равно полезно.
вот только ветку бы сократить немного, чтоб покомпактнее была.

Я видел много конф по 1С, но ни в одной не было достаточно ценной информации. Ее просто некому продать. :-)

(280) зря иронизируешь, довольно много обычно ценного.
однажды из-за не особо разбочивого в методах программера фирма развалилась (я с ними уже после всего познакомился, правда поздно было - база у конкурентов была и в конечном итоге фирме пришел песец, маленькая была, не справилась)

(279)
Лень точно формулировать, но низкоуровневое программирование = это типа манипуляция регистрами, прерываниями и каналами DMA и т.д., т.е. на уровне колец.

(274) Тут можно со многим согласиться, просто есть еще одно обстоятельство - более "денежные" конкуренты 1С.

К сожалению, у 1С есть такая проблема, как Аксапта и "фашысская" (как выразился один мой коллега) SAP R3 (сделано в Германии, все примеры кода - на шпрехен зи дойче).

Причем, не факт, что какая-то из этих программ лучше - просто они могут быть на порядок (или на два) дороже и, соответственно, грамотный руководитель (который любит откаты) выберет то, что дороже. И постепенно они занимают "денежный" нефтегазовый рынок (или, по замечанию одного внедренца SAP, уже заняли его почти целиком).

И вот, предположим, руководитель (который не силен в системном программировании, но очень любит откаты) выбирает между 1С (которая уже стоит) и SAP R3. И спрашивает франчайзи 1С: можно ли хорошо защитить 7.7? Ему франчайзи отвечают: нет, конечно же нельзя. А 8.0? "Не знаем, не пробовали".

И спрашивает "фашыстов": можно ли хорошо защитить SAP R3? "О, да, йа, йа, конечно, можно". И на рабочем столе тут же появляется чемодан денег...

Известен франчайзи 1С, который активно внедрял (а может и сейчас внедряет) систему для филиала РАО ЕЭС на 8-ке. И тут возник Чубайс, и сказал: почему бы нам не внедрить Аксапту? Не знаю, чем дело закончилось, но любовь крупных (особенно, рыжих) руководителей к определенным способом ведения дел общеизвестна.

В результате, 1С оказывается где-то в сторонке, окучивая ма-а-а-леньких клиентов с приходящим админом, просто потому, что у франчайзи 1С не хватило важного аргумента в споре (в кузнице не было гвоздя).

(281) >не особо разбочивого в методах программера
А при чем тут 1С? Программер может любую базу хоть Аксапту, хоть Сап продать.

(282) ах вот в чем дело... ну да, на уровне прерываний romix не поработал, но все-таки не стОит так цепляться к формулировке, имелось ввиду более глубокое изучение вопроса
(284) не спорю, так речь же о теоретической ценности и необходимости защиты, верно?

(282) Имеется в виду защита на уровне перехвата системного вызова WinAPI. Кстати я читал про кольца защиты, и такого термина че-то не помню. Если неточный заголовок, то его можно переименовать.

ну у меня то интерес чисто практический, ибо за последние 1.5 года я несколько раз налетел на подвязку клиента к программеру на типовых конфах...
и на очень интересный метод махинаций в типовой ТиС с доделками...
Причем махинации учитывали специфику ведения учета на компоненте Опер Учет

(287) не понял "подвязку клиента" = приявязать клиента к конкретному программеру?
а про махинации подробнее можно? просто зачастую именно оперучетом занимаюсь

кстати, замаскированный способ подачи объявлений о покупке инфы -

"Примем менеджера по реализации товаров хххххххххх СО СВОЕЙ КЛИЕНТСКОЙ БАЗОЙ"

кстати, для слива инфы не обязательно красть всю базу... а только выжимки, что зачастую и делают манагеры... Причем значительно чаще программеров ...

(289) И база естественно 1С. :-)  Правда, клиентскую базу, если что, можно переписать с экрана.

(289) точно, мода на них до сих пор не прошла, хоть и меньше вроде стало
(290) часто они еще и договариваются с "умельцами", чтоб те им помогли утащить что надо и/или проанализировать потом

+(291) Короче, что я понял из этой (и многих предыдущих веток на эту тему) - Жизнь дерьмо, а от инсайдера защиты нет. :-)

(286) Да (точка) нет. Сам понимаешь, на "низком уровне" ОС почти по барабану. Похвально что ковыряешься..

(293) действительно, от инсайдера никакой защиты :))

(291) украсть можно в любой системе, если ты в ней - инсайдер... Ну а так как работаем в основном на 1С...


(288) Подвязка к программеру - это когда в систему внесено такое хитрое изменение, что только зная о нем, можно обновить базу. Иначе информация в базе при, например, обновлении, просто теряется.... Например, в доках исчезает товар... На складе остается ХЗ что...

По поводу махинаций - это клевая находка... Я сразу и не въехал в технологию... Причем в системе было протоколирование изменений - оно отдыхало...
А прокололись на иллюзии безопасности и якобы защите...

P.S. выкладывать в открытую не буду...

(296) интересно... честно говоря видимо недостаточно подлый характер - додуматься не могу, а сталкиваться не приходилось...

не.... чтобы до такого допереть, надо быть очень грамотным и досконально знать не только ТиС, но и особенности работы персонала...

(298) тогда пас... ТиС конечно знаю, но в доскональности не уверен, да и типовые почти никогда не использую

(298) Не прошу раскрывать технологию, как это делается. Можешь сказать, как с этим бороться? (если при этом получится не раскрывать технологию)

пля... смистили 300...

(300) бороться просто - документооборот надо стоить и перекрестный контроль...
Один единственный прокол и мистец - денежки уплывали...

(299) если твои системы на опер учете - с вероятностью 99% эту фишку можно и у тебя сделать...

(301) > документооборот надо стоить и перекрестный контроль...
Что имеется в виду? Прозрачная схема документооборота и дублирование проводок в каждом документе?

(301) чаще всего на оперативном, т.е. с перегрузкой в бухию, если надо, но как основу для чего-то большого выбираю оперучет
не совсем ясно, что подразумевается под перекрестным контролем, ну например?

перекрестный контроль - цифра, получаемая в отчете одного отдела, должна совпасть с цифрой, даваемой другим отделом...

Например, цех сказал - сделали 9 стуьев, а склад отчитался, что принял 8 стульев и одну табуретку для туалета...

(304) Понял, т.е. документооборот и перекрестный контроль здесь взаимосвязанные вещи. Теперь вопрос. Если набрел на такую жопу, как вычислить блоху?

только по нюху...

P.S. я искал задним числом, уже после увольнения людей по собственному...
Попросили люди для успокоения, а я сдуру и нашел фигувое дерево...


Надолго ли дураку стеклянный ....

(306) Мне в голову только один способ приходит. Дублирование всех проводок всех документов. Чтобы потом сравнить.

не канает...

(308) Ладно. А есть ли надежные признаки, по которым можно определить, что это именно такой случай, о котором ты говоришь?

(304) я понял, немного не в такой формулировке, но вообще-то так и реализуется, касается в-основном производственных предприятий, но мысль понятна, конечно иначе все обходится при большом желании

(309) анализ всей деятельности и ее отражения в учете и программе, далее ищем где можно при желании спи$дить. имхо.

Я не понимаю тему "от инсайдера не убежишь".

И ее логический вывод: "Поэтому давайте откроем на всеобщий доступ папку ExtForms, и посмотрим что при этом получится."

И следующий разумный логический ход: объявить на весь мир 1С-ку незащищенной, или менее защищенной, чем другие учетные системы.

Что мешает поставить терминал, воткнуть ВК и запустить пару защитных прог? Регламент установки (если вдруг установщик - не системный программист, а обновленец из фр.) описывается короткой "шпорой" (в смысле, шпаргалкой). В исходники лезть не нужно.

Могу даже сделать не ВК, а DLL прикрутить к движку (в папке BIN) 1С. Чтобы при обновлениях не слетало. Если франчам надо - могу сделать. Даже нахаляву. Просто интересно, можно ли после этого будет систему взломать, или нет?

Помнится предполагал как-то о защиту от подобного способа. Еженочное восстановление полседовательности. Была как-то буча. Восстановление полследовательности. Ночью. Утром выгрузка вчерашнего дня. А потом, когда отчеты месячные по отделам сравнили, замучался искать автора. С тех пор ведут отчеты только нарастающим итогом. (Правили не остатки, а обороты)

(312) Стоимость. Терминал дорог. А у меня на работе в обязательном порядке должно быть все лицензионным. И подход руководства - тогда лвыгоднее восьмерка.

(314) Он и будет лицензионным. Каждые 90 дней. :-)
А кстати вы смотрели насколько он дорог?
И вообще по-моему есть бесплатные терминалы, или я ошибаюсь?

по моему даже 120 дней затем перестановка. мы так и делаем все тип-топ.

(315)список в студию

ромикс продолжает тупить...

(318)ты этому удивляешься...  я уже нет... привык

да... на весну списать нельзя... Это уже серьезно, почти "Доступно и всерьез" (цы)

(313) хи.... на твоей технологии и поймал разработчик контору...

наверное... сексуальное голодание до добра не доводит

Лицензирование на подключение в действительности включает две лицензии - на доступ к ресурсам сервера Microsoft Windows 2000 Server и на доступ к терминальной службе. Клиентская лицензия встроена в Windows 2000 Professional - для терминала с этой ОС терминальную лицензию покупать не надо.

http://www.bytemag.ru/Article.asp?ID=2099

Имхо вообще невозможно говорить о защищенности не трехзвенной архитектуры не в терминале. Любители сэкономить должны учитывать, что в сети Windows Server+Windows Professional терминал, как выяснилось, бесплатен, что при использовании терминала резко ускоряется работа DBF-базы по сети и увеличивается защищенность. Насколько увеличивается защищенность? Рискну предположить, что до уровня банковского терминала или банкомата.


           (\____/)
           / @__@ \    
          (  (oo)  )  
           `-.~~.-'
            /    \            
          @/      \_          
         (/ /    \ \)
     jgs  WW`----'WW


Аллес... дятлы...



Имхо вообще невозможно говорить о защищенности не трехзвенной архитектуры не в терминале

     ____,---.
    /  __|o\  )
       `-\ / /
         ,) (,
        //   \\
       {(     )}
 =======""===""===============
 Ромикс  |||||
         |||||
          |||
          |||
           |
           |




Весь мир умудряется работать не в терминале, на двухзвенке и при этом иметь защиту, и только у Ромиксов это не обеспечивает защиты...


Не надА... устраивать в лесу пожары....

(325) Эта защита - до первого чела, который владеет программой SoftIce.

(+326) Т.к. пароль SQL ты вынужден хранить в доступном клиенту месте. А ля файл DBA. Матрейя тут выкладывал код, как получить из него сервер-имя-пароль SQL.

долго думал куда льдинку прикручивать... и представил ситацию... менеджер ставит ее на свой комп...

(328) Прикрути ее сюда:

                                  _.---.)
                        (^--^)_.-"      `;
                        ) ee (           |
                       (_.__._)          /
                         `--',        ,'
                          ПИТ )_|--')_|
                              ""'   ""'



Кому надо, поставят на свой домашний (а то и рабочий) комп, и снимут все защиты, поставленные в коде. Назови мне хотя бы одну невзломанную на текущий момент хоть сколько-нибудь распространенную софтину (игровую консоль X-BOX не предлагать).

Тогда как 3-звенку (или терминал) взломать заменой двоичного кода невозможно, т.к. она висит на сервере, и к ней так просто с HEX-редактором (или патчером Соарона) не подберешься.

(+329) Если, конечно, Пит не откроет папку BIN на терминале на всеобщую запись...

(330)у вас случайно не весенне обострение?

(331)
у него вялотекущее круглогодичное обострение...
То нетбеуи - плохой протокол, то всех в терминал гонит...

Он думает, что если у него 8 см  то у всех такие же.....

Ветка выродилась во взаимный обмен "любезностями". За что и закрывается.
Если сможите вести нормальный диалог, открывайте новую ветку.