ActiveX 暴漏你所有資訊的可怕的插件！

<dl></dl>

最近在項目中經常接觸activex控件，對于這個名詞相信隻要是上網看視訊的使用者一定都會遇到adobe更新或者加載的提示，這就是一個activex控件。一直以為active控件是處理複雜的頁面邏輯提供視訊動畫展現的和本地環境沒有互動的；這兩天通過一個簡單地&lt;input type="file"/&gt;加深了對他的認識，更加深刻的認識到了他的巨大作用的同時無時無刻不感覺到一把達摩克勒斯劍懸在了頭上。

起因：

項目中需要在原有的表單中實作一個圖檔上傳功能b，挺簡單的邏輯，但是由于原有的頁面也有選擇檔案上傳的按鈕a，a是調用另一個第三方控件選擇圖檔，然後線上預覽選中的圖檔但是此控件并不會上傳選中的圖檔，由于不可能讓使用者選擇兩次圖檔，是以需要加入功能b在使用者調用a功能的時候就把圖檔上傳上去,第一個想法嘗試使用jquery将&lt;input

type="file" id="imgpath"&gt; 中的value進行動态指派，使用者調用a的時候就将圖檔上傳，多次嘗試後發現這種方法是無法給input 域指派的，原因是這個類型是隻讀的，不能指派，即使給他value設定值也是無效的。原因可以試想一下，如果這個域可以指派，那麼我可以随意指派一個路徑，将使用者的資料在未經使用者同意的情況下直接上傳，多麼可怕。難道就沒有一個指派一個路徑在未經使用者許可的情況下就上傳到的方法麼？答案是有的，可以通過activex插件，此處以某公司的xx簽章産品中的一個功能為例：

var path="d://那個誰.jpg";

obj.putfiles(path,"豔照");

簡簡單單兩句話就能悄悄的将電腦的檔案上傳到伺服器了。試想如果有人刻意将你引誘到某個網頁，提示你要加載一個控件，然後讓你看半小時的電影，他就可以在背景循環周遊你的電腦 c、d、e各種盤找到敏感的檔案進行上傳，是不是很恐怖。

為了防止這種情況的發生，浏覽器本身有很多限制axtivex控件運作的方法，最簡單的就是在internet選項中設定是否啟用等資訊。更為安全的方法是将需要使用控件的可信網站加入可信站點裡面，對于不明确來源的控件不要安裝。