PQ ist harmlos!

[Fennek]

die verbreitete Meinung, PQ sei harmlos muss etwas modifiziert werden:

https://www.spiegel.de/netzwelt/web/micr...74537.html




(ebenso ist die Aussage "in xlsx-Dateien ist kein Makro" im Prinzip richtig)

[LCohen]

Danke für den Artikel ... man braucht also nur eine präparierte Webseite als Abfragequelle, um über eine ganz normale .xlsx einen Empfänger, der die dann öffnet und ausführt, zu infizieren.

Web-Abfragen waren allerdings auch schon vorher mit Excel möglich (und abspeicherbar). Von daher ist PQ da jetzt nichts Neues.

Da man mit F9 (bzw. automatischer Kalkulation) das nicht starten kann, sondern nur mit Abfr.Aktual., bedarf es also Absicht.

Und für eine automatische Ausführung bedarf es einer .xlsm, und die lässt sich beim Öffnen ja deaktivieren. Oder man öffnet sie nicht.

[schauan]

Hallöchen,

ich glaube, die Absicht liegt gerade hier für die Forennutzer, egal ob Fragesteller, Antworter oder Leser, nicht nur im Bereich des Möglichen

[Fennek]

Hallo Andre,

der Satz ist mir grammatikalisch zu anspruchsvoll.

Meine Position ist etwas taoistisch: Meine Excel-Kenntnisse reichen nicht aus um auch nur einen Ansatz zu erahnen (Frust), das macht aber neugierig.

mfg

[schauan]

HI Fennek,

ja, da war ich ganz schön am Feilen um das so hinzubekommen
Der Punkt ist eben, wenn eine Anfrage kommt, irgendwas von einer Website auszulesen, und es bietet sich an, das mit PQ zu tun. Da kann der TE schon eine Datei mitschicken und fragen, warum "sein" PQ nicht funktioniert, oder ein Antworter postet ein PQ - Beispiel oder verlinkt zu einer vermeintlichen PQ - Tutorial - Seite, oder  ...

[Fennek]

um das Risiko von VBA zu mindern, prüfe ich zuerst jeden Code.

Aber ich abe keine Idee, wie ich PQ-Code prüfen könnte. Falls jemand da ein paar Tips hätte ...




(allerdings öffne ich die Dateien in Excel immer ohne Internetverbindung)

[Storax]

Hier gibt es Details, hat  Ähnlichkeiten zur CSV-Injection.
Insgesamt wohl eher ein alter Hut und mimecast will nur Aufmerksamkeit.

[Der Steuerfuzzi]

@Storax: FULL ACK. Denn im Prinzip dürfte das Problem auch bei einer "normalen" Webabfrage bestehen, da auch hier die aus der csv-injection bekannten Probleme mit der Umwandlung von Formeln bestehen.