Как хакеры используют Microsoft Excel против него самого

[wxmaper]

Однако перед тем, как DDE-соединение будет установлено, пользователь должен согласиться с операцией.

Перед тем как домушник вынесет всё из моей квартиры, я должен согласиться, что он войдёт через входную дверь, воспользовавшись моими ключами.

[sergeysm128]

увы, но в виртуальном мире такой трюк часто работает, многие кликают не глядя.

[Solovej]

А если такой зловред запустить например на Libreoffice Calc он тоже будет работать или только Microsoft Office этой атаке подвержен?

[Sly_tom_cat]

В либре я не нашел макроса PowerQuery — есть только POWER и IMPOWER (возведение в степень действительного и комплексного числа)

[kalininmr]

в Libreoffice довольно таки ограниченная песочница у макросов.

[xtrime]

«Те, кто готовы пожертвовать насущной свободой ради малой толики временной безопасности, не достойны ни свободы, ни безопасности.»

Макросы это не только возможность записи действий для последующего повторения, но и полноценный VBA. Без макросов не создать серьезные расчеты в аналитике, финансах: сценарные подходы, изменение входных данных, генерация данных, графические формы и окна, доступ к сети, управление рекурсивными вычислениями и многое другое решается только макросами.

Вопрос в конце статьи можно переформулировать: «на языках программирования пишут вирусы, почему их не запретят?»

Хорошо, что Майкрософт проявляет благоразумие.

[mickvav]

Ну, проблема только в том, что построить номальную культуру разработки на макросах сложнее (ну или было сложнее, когда я на это смотрел в последний раз).
Можно их нормально выложить в гит? Получить diff и отревьювить? Прицепить unit-test-ы?
Когда я последний раз на это смотрел — это была бинарная сущность внутри Excel-ных файлов, никак наружу не вытаскиваемая.
Как следствие сниженной культуры разработки имеем область применения вида «аналитик, который хочет стать программистом, но не может или еще не успел». Не умоляя полезности результатов, вектор развития получился кривой — смешали данные и программы, получили ворох рабочих, но кривых решений, которые все равно со временем приходится переделывать на нормальных языках.

[xtrime]

www.alt-invest.ru/program
Это все сделано на макросах. Десятки лет Альт-Инвест остается одним из лучших решений для бизнес-планирования, оценки и тд…

А вот и гит: github.com/topics/vba-excel

Пример проекта, который билдится из исходников в пустой xslm через скрипт PowerShell: github.com/michaelneu/webxcel

Все что вы перечислили сделать возможно без особых костылей.

[mickvav]

Обратите внимание, что все, что у вас написано, написано в виде cls файлов, а не в виде бинарных xls-ов. И проблема, которая в исходном посте, и про которую я тут говорю — как раз в последних.
Неожиданно оказывается, что если код отцепить от данных, жить становится легче. Кто бы мог подумать, в самом деле!
Да, за REST на vba — респект.

[orion76]

На заголовком надо еще немного поработать.
Мозг корёжит от данной «формулировки».-)

[timelle]

Что-то вроде «Как хакеры используют фичи Microsoft Excel против него самого»

[rPman]

Пока в майкрософте будут сидеть перцы, десятилетиями не меняющие ключевые параметры (это даже не код а просто поведение по умолчанию), понижающие по определению безопасность пользователя, такие как безусловный автозапуск даже с сетевых дисков (а вы думали оно только для компакт дисков работало?) или не отключаемая реакция запуска бинарника на двойной клик на букву диска или сетевое устройство, если в корне лежит autorun.inf, то о какой то безопасности говорить нечего.

Офисные документы microsoft (excell/word) невозможно распечатать, не разрешив запуск макросов в этом документе! Т.е. ключевой механизм, защищающий вашу машину от атаки через документ, не имеет смысла, потому что в 90% использований его отключают, так как иначе задачу выполнить нельзя!