Graphik in WebUI

[agen]

Hallo,

durch einen kleinen "Trick" kann man externe Graphiken in der WebUI der CCU verlinken, die dann z.B. in den Favoriten angezeigt werden.

Ausgangspunkt ist eine Systemvariable vom Typ "Text" - diese werden von der CCU als normaler html-Code behandelt. Schreibt man z.B. ein normales img-tag hinein, so wird die entsprechende Graphik angezeigt, man kann natürlich auch mit anderen Features, wie z.B. Farben, arbeiten.

Um die url in die Systemvariable zu bekommen genügt ein Scriptaufruf, z.B.

dom.GetObject("url").State('<img src=\"http://www.homematic.com/fileadmin/Home ... r/logo.jpg\" alt=\"\" />');

zu beachten ist die Behandlung von Anführungsstrichen mit \" !!!

Bedingt durch ajax wird die Graphik auch immer schön aktualisiert, wenn sie z.B. aus einem Script heraus geändert wird.

Viel Spass dabei

Andreas

[ColdFireIce]

uh...

böses faul eQ-3 nicht mal htmlspecialchars drüber laufen lassen... Insertions sind doch das erste was man lernt

Daniel

[owagner]

XSS? Astloch im weit offenen Scheunentor?

[EnergyStar]

Hallo Leute,
Ihr solltet hier nicht so schimpfen, sonst machen die Leute bei eQ-3 wenn sie hier mitlesen dieses Astloch zu. Dann ist diese villeicht mal interessante Möglichkeit futsch, aber sicherer ist die CCU damit auch nicht. Leute, die diesen Bug als Feature nutzen stehen dann vor verschlossenem Astloch.
Wäre doch auch blöd.
Wenn das Sicherheitsniveau der CCU nicht unter dem Küchenlinolium wäre, dann wäre das was anderes. Aber so...
Gruß
EnergyStar

[berndes]

Und es gibt trotzdem Leute, die das Ding direkt an eine Portfreigabe hängen wollen.

Ja Teddy die gibts

Gruß
Berndes

[dirch]

Hallo zusammen,

ich finde diese vermeintliche "Sicherheitsluecke" ueberhaupt nicht kritisch, ist viel eher ein Feature als ein Bug. Und die Eingaben von Stringvariablen auf irgendetwas zu filtern finde ich nicht nur ueberfluessig sondern einfach bescheuert, weil dann koennte man ja lange nicht alle Werte dort speichern, vielleicht will ich dort ja wirklich einen String mit irgendwelchen Sonderzeichen hinterlegen. . . . ich wuerde mich schwarzaergern wenn das nicht ginge weil aus Sicherheitsgrunden da was gefiltert wuerde. Hoffentlich bleibt das so

Selbst wenn man die CCU direkt per Portforwarding ans Internet dran haengt ist es mit dieser "Sicherheitsluecke" nicht kritischer als generell, weil um damit ueberhaupt Unsinn zu verzapfen muss man sich schon im Webinterface anmelden. Und wenn man angemeldet ist dann kann man viel schoenere Sachen machen als nur einem User per XSS irgendwas unterzuschieben

Gruss,
Dirch

[Goglo]

Nu kram ich den alten Thread mal wieder hoch, weil ich gerne ein webcam-Bildchen auf der hompage des webUIs anzeigen möchte. Beschreibe ich nun meine Systemvariable "Bigpicture" mit folgendem Prögrämmelchen

Code: Alles auswählen

var o = dom.GetObject("Bigpicture");
string s= "<img src=\"http://www.eikongraphia.com/images/big_mountains/BIG_Zira_Island_Copyright_BIG_1_S.jpg\" width=430 alt=pic>";
o.State(s);
WriteLine(o.State());

bekomme ich das Bild zwar angezeigt, nur leider nicht schön zentriert. Wenn ich die Breite variiere, verschiebt sich der linke Rand, der rechte scheint aber fixiert zu sein, so dass rechts immer viel Platz bleibt. Die Anordnungsoptionen in den Favoriten hat ja keine Auswirkungen auf die Anzeige auf der Homepage.

Ist hier irgendwo ein html-Wissender, der mir die Tags nennen kann, die das Bild so schön anzeigen wie beim Thread-Ersteller?

Danke!

Achso: Bevor hier irgendjemand herummault: Das Bild kommt von www.eikongraphia.com, so wie im Source oben angegeben. Ich hab' es nur ausgesucht, weil es auch ein bisschen was mit Häusern zu tun hat

[alchy]

...bekomme ich das Bild zwar angezeigt, nur leider nicht schön zentriert.

Schlies mal spasseshalber vor dem <img> das Blockelement mit </div>.
dirty, sollte aber funktionieren. Mit vspace und hspce kannst du danach noch freien Rand rings um Grafik festlegen.
[EDIT]
ungefähr so:

Code: Alles auswählen

    string s= "</div><img src=\"http://www.eikongraphia.com/images/big_mountains BIG_Zira_Island_Copyright_BIG_1_S.jpg\" width=460 vspace=10 hspace=0 alt=pic>";

[/EDIT]
Alchy

[Dr.Bob]

...das hat ja in der Tat funktioniert
Ich erinnere mich das ich das vor längerer Zeit mit Teddy diskutiert habe
aber ich wurde aus allen Sicherheitslöchern beschossen was ich damit bloß anstellen möchte
und wie unsicher das ganze wäre.

Trotz dem denke ich, muss jeder von uns selber wissen wie (un)sicher er sein Tcl Code und die Addons gestaltet
obwohl die Forum Anregungen oft Recht haben


Kurze Frage zum goglo's Minierfolg mit dem "Bildchen".
Falls hinter dem Link eine Webcam (zB Axis) wartet, dann liefert diese :

a) kein JPG am Ende des Links sondern eine Session ID die je Session anders ist (wie fängt man so was ab oder reicht einfach der Hauptlink und Session ID wird on the fly erzeugt)? AXIS Webcam liefert zB ein JPEG Motion-Stream. Kann unsere Variable das verarbeiten?

b) Webcam Authentifzierung , wo User/Pwd verlangt wird (wie bettet man dies im aufgeführten Tcl Scriptlink ein)?

[alchy]

Viele der Kameras liefern ein Bild zurück, wenn man sie mittels snapshot.cgi danach fragt.
Daran kann man den Usernamen und das Passwort gleich anhängen.
Bei vielen Kameras würde dann folgender Code zu einem zentrierten Bild führen.
Wenn man dieses Script per Zeitsteuerung alle x Minuten aufruft.....

GROSS GESCHRIEBENES ist dabei durch eigene Daten zu ersetzen

Code: Alles auswählen

    var o = dom.GetObject("SYTEMVARIABLEWEBCAM");
    string s= "</div><img src=\"http://IP-DER-WEBCAM:PORT/snapshot.cgi?user=USERNAME&pwd=PASSWORT\" width=420 vspace=10 hspace=0 alt=pic>";
    o.State(s);

Es ist natürlich von Vorteil, den Link einfach erst mal im Browser auszuprobieren.

Code: Alles auswählen

http://IP-DER-WEBCAM:PORT/snapshot.cgi?user=USERNAME&pwd=PASSWORT

Natürlich kann nur funktionieren, was man mit einem <img src> Tag einbinden kann
Das Einbinden von Videos ist ein anderes Thema
:
Axis Kameras verlangen wohl häufig die Syntax:

Code: Alles auswählen

http://IP_DER_WEBCAM:PORT/axis-cgi/jpg/image.cgi

Einfach mal in die Beschreibungen des Webcams schauen oder googeln.

Alchy