ユーザーアカウントを作成するためのWebページ内のActiveXコントロール

Question

Windows XPマシン上に、Webページ上のActiveXコントロールからスクリプトを作成することで実行できるユーザーアカウントを作成する方法があるかどうか疑問に思っています。具体的には、コンピューターにWebページを使用してActiveXコントロールが存在することを検出し、自動作成を可能にするActiveXコントロールをコンピューターに展開する方法があるかどうかを知りたい（事前構成および出荷）コンピューター上のローカル（Windows XP）ユーザーアカウントの。基本的に、これはActiveXコントロールを事前にインストールし（必要な場合）、デスクトップにリンクを提供するという問題であると考えてください。ユーザーはマシンを受け取り、ログオンして（管理者権限で）Webサイトにアクセスします。そこで、サーバーが適切なユーザーアカウントを判断し、HTMLとして送り返します。ActiveXコントロールが指定したユーザーアカウントを作成します。

この種のことは可能であるように思えますが、同時に、潜在的に関与する明らかなセキュリティ上の欠陥があります。これらのマシンへのアクセスは非常に制限されるため、セキュリティの問題はそれほど心配されません。

これが可能かどうかは誰にもわかりませんか？組み込みのWMIコンポーネントのいずれかがこのようなことをしますか？これはXPのセキュリティモデルでも許可されていますか？または、これは完全に回避すべき大きなセキュリティホールを開いているだけですか？

Answer 1

これを許可するために、特にIEでWindowsのセキュリティモデルを取得できるとは思わない。 WMIでWin32_UserAccountを使用してWMIでこれを行うことができるため、Webページを照会して作成する必要のあるアカウントを確認してから作成するPowerShellまたはVBScriptスクリプトを作成する方がよい場合があります。ユーザーはローカル管理者である必要があります。 PowerShellの方が簡単です。 www.sapienpress.com/powershell.asp（ページの下部、無料）からサンプルスクリプトを取得すると、URLにクエリを送信して結果をテキストとして取得する方法の例が表示されます。その後、テキストを解析し、それに応じてアカウントを作成できます。

Answer 2

URL証拠または厳密な名前の証拠を使用して、caspolセキュリティ設定をfulltrust（またはカスタムセット）に設定する必要があります。

コントロールが常にfulltrust設定を取得するようにした後、コントロールでできることには制限がありません。通常のアプリケーションでできることはすべて、埋め込みコントロールから可能になります。もちろん、Vista UACとIE保護モードはあなたが見なければならない問題です。例えば。保護モードは、サイトを信頼済みサイトゾーンに追加することで回避できます。

編集：Vistaの詳細を無視します。