Attend, je crois que je n'ai pas compris.
J'ai mod_security qui bloque tous ce qui ressemble à du code html dans les GET.
Donc on ne peut pas faire du XSS sur mon serveur.
Qu'est-ce que je risque d'autre ?
Et puis, ce n'est pas plutot une erreur des scripts au lieu d'une faille dans php ?
Ben aucun effet sur ma page phpinfo (la chaine se retrouve aux endroits normals).
J'ai du configurer quelque chose de façon trop paranoique ....
Tu as un exemple ?
Je viens de tester sur mon serveur et j'ai une erreur 403. Dans mon fichier error.log:
[Wed Feb 01 12:19:21 2006] [error] [client 127.0.0.1] mod_security: Access denied with code 403. Pattern match "<(.|\\n)+>" at THE_REQUEST [hostname "xavia.thenico.fr.eu.org"] [uri "/~nico/phpinfo.php/%22%3Cimg%20src=url/perl.png%3E"]
Voila, avec les bons logiciels, on peut oublier ce genre de pépin :)
Pour l'identification sous Windows, c'est pas GINA qui fait le boulot ?
Et des remplacement pour GINA, je trouve en plus des solutions proprietaire novell ceci:
http://pgina.xpasystems.com/
Pgina propose un systéme de plugin tels que:
Slashdot ( http://pgina.xpasystems.com/?page_id=11 )
PAM ( http://pgina.xpasystems.com/?page_id=8 )
LDAP ( http://pgina.xpasystems.com/?page_id=6 )
Windows 2003 Enterprise Edition en tous cas est téléchargeable.
Et apres j'ai pu aller sur windows update faire mes mise à jours sans probléme.
Donc je suppose que c'est la version finale.
[hs]
Au faite, c'est quoi ton job chez microsoft ?
Histoire de savoir à qui je parle ...
[/hs]
Du serveur download.microsoft.com ...
On peut telecharger windows 2003 et meme vista d'appartir ce serveur sans identification (enfin on pouvait la derniere fois que j'avais essayer).
J'ai finis par convertir le fichier vidéo vers quelque chose de plus universelle.
Utilisation de mencoder avec les options par defaults donc contrairement à l'extension, c'est du mpeg4 ....
Reboot sous le livecd.
Compile une version static de dpkg et de apt-get.
Copie ce static dpkg dans un repertoire temp de ton disque dur.
Chroot dans ton linux.
Utilise apt-get install kubuntu-desktop.
Ca devrait réinstaller par le jeu des dependances les libs manquantes.
Sinon il reste deboostrap mais c'est plus dur ...
Il faut faire le juste milieux entre l'optimisation maximale pour une connecte a 3o/s ou la lisibilité d'un protocole qui se debrouille tres avec 4kb/s.
Et puis, comparer au traffic p2p, ce n'est pas du xml qui va saturer les routeurs ...
Ben si il y a 255 machines derriere mon NAT, c'est plus un usage personnel mais c'est etre un FAI.
Ils perdent donc de l'argent et donc il n'aiment pas.
Par contre je vois mal comment il le verait vu que tous l'ipv4 est natté et que l'ipv6 passe via un tunnel tspc ....
Nop, car ça ne le fait pas sur une autre machine.
Donc c'est une modification faite sur ma machine qui est responsable de cette situation et je ne pollue pas un bugtracker de probléme provenant de mon gout pour la bidouille foireuse.
C'est afficher par update-manager.
Et sur ma breezy c'est cassé et je sais un peu pourquoi:
sudo update-manager => Ca se lance sans probléme.
gksudo update-manager (via la console) => Ca lance aussi
gksudo update-manager (via le menu ou l'icone ) => Echec lors du lancement de /usr/bin/update-manager avec l'utilisateur root :
Child terminated with 1 status
Et comme toute l'interface graphique fais appel a gksudo, sa pose un gros probléme ...
J'ai du NAT et 3 ordinateurs derriere en Ipv6 ....
D'apres ce que j'ai comprend, c'est toleré du moment qu'on ne connecte pas 255 machines sur une seule connection ...
Pour kazaa c'est totalement proprio.
Pour emule, le serveur est proprio mais le client libre et la doc abondante !
Pour bittorrent, c'est libre à 100% ...
Si tu es prêt a payer le cout de l'etude, la construction, le lancement et la gestion d'une sonde, on peut essayer :)
Prepare un budget de 6 milliard d'euros/mois ....
Linux est portable mais on quand meme pas lui demandé des trucs qui vont carrement à l'encontre de la direction dans lequel il a était devellopé ....
Moi c'est la meme chose sauf que c'etait un d-link di-624.
Pour l'ipv6, je m'amuse avec tspc mais j'aimerai bien avoir autre chose (genre un vpn qui offre de l'ipv6 ...)
Mettre à jour son serveur web et s'occuper un peu de la securité de ses scripts ...
Et aussi consulter sa boite emails pour savoir si par hasard un internaute n'aurait pas trouver une faille sur le site ...
(Toute ressemblance avec le serveur glossa.fltr.ucl.ac.be est bien entendu une coencidence ...)
Et il y aussi le cas du modem-routeur qui bloque meme en mode DMZ l'ipv6.
Donc on vire sa fonction routeur, on connecte un vrai routeur derriere et zyva !
[^] # Re: Mod_security powaaaa !
Posté par inico (site web personnel) . En réponse au journal Faille Apache/PHP permettant du XSS. Évalué à 2.
[^] # Re: Mod_security powaaaa !
Posté par inico (site web personnel) . En réponse au journal Faille Apache/PHP permettant du XSS. Évalué à 2.
J'ai mod_security qui bloque tous ce qui ressemble à du code html dans les GET.
Donc on ne peut pas faire du XSS sur mon serveur.
Qu'est-ce que je risque d'autre ?
Et puis, ce n'est pas plutot une erreur des scripts au lieu d'une faille dans php ?
[^] # Re: Mod_security powaaaa !
Posté par inico (site web personnel) . En réponse au journal Faille Apache/PHP permettant du XSS. Évalué à 3.
J'ai du configurer quelque chose de façon trop paranoique ....
Tu as un exemple ?
# Mod_security powaaaa !
Posté par inico (site web personnel) . En réponse au journal Faille Apache/PHP permettant du XSS. Évalué à 4.
[Wed Feb 01 12:19:21 2006] [error] [client 127.0.0.1] mod_security: Access denied with code 403. Pattern match "<(.|\\n)+>" at THE_REQUEST [hostname "xavia.thenico.fr.eu.org"] [uri "/~nico/phpinfo.php/%22%3Cimg%20src=url/perl.png%3E"]
Voila, avec les bons logiciels, on peut oublier ce genre de pépin :)
[^] # Re: On peut donc en conclure...
Posté par inico (site web personnel) . En réponse au journal Zéro et des poussières.... Évalué à 2.
http://download.microsoft.com/download/5/2/b/52beb621-1a93-4(...)
Je l'avais activé via Internet sans probléme et le timebomb (120 jours) a sauté quand j'ai installé le SP1.
Bon alors, j'ai quoi dans ma machine virtuelle ?
Un windows 2003 sp1 final ou un mix de beta et de final ?
ps:
Pour la licence, j'ai avais une qui trainait suite a l'achat d'un serveur qui s'est vite retrouvé sous une debian sarge.
[^] # Re: Plus besoin de Microsoft en Entreprise!
Posté par inico (site web personnel) . En réponse à la dépêche Annonce de Samba 4 Technology Preview. Évalué à 5.
Et des remplacement pour GINA, je trouve en plus des solutions proprietaire novell ceci:
http://pgina.xpasystems.com/
Pgina propose un systéme de plugin tels que:
Slashdot ( http://pgina.xpasystems.com/?page_id=11 )
PAM ( http://pgina.xpasystems.com/?page_id=8 )
LDAP ( http://pgina.xpasystems.com/?page_id=6 )
C'est opensource aussi.
Bon test ?
[^] # Re: On peut donc en conclure...
Posté par inico (site web personnel) . En réponse au journal Zéro et des poussières.... Évalué à 2.
Et apres j'ai pu aller sur windows update faire mes mise à jours sans probléme.
Donc je suppose que c'est la version finale.
[hs]
Au faite, c'est quoi ton job chez microsoft ?
Histoire de savoir à qui je parle ...
[/hs]
[^] # Re: On peut donc en conclure...
Posté par inico (site web personnel) . En réponse au journal Zéro et des poussières.... Évalué à 2.
On peut telecharger windows 2003 et meme vista d'appartir ce serveur sans identification (enfin on pouvait la derniere fois que j'avais essayer).
# Internal Error during parsing DLFP's post
Posté par inico (site web personnel) . En réponse au journal charles bronson est mort. Évalué à -10.
login>
[^] # Re: Pour ceux qui n'ont pas flash
Posté par inico (site web personnel) . En réponse au journal Extrait South Park sur le piratage (en flash). Évalué à 2.
(3.7 mo)
J'ai finis par convertir le fichier vidéo vers quelque chose de plus universelle.
Utilisation de mencoder avec les options par defaults donc contrairement à l'extension, c'est du mpeg4 ....
# Y a une solution
Posté par inico (site web personnel) . En réponse au journal Je suis un gros boulet. Évalué à 1.
Compile une version static de dpkg et de apt-get.
Copie ce static dpkg dans un repertoire temp de ton disque dur.
Chroot dans ton linux.
Utilise apt-get install kubuntu-desktop.
Ca devrait réinstaller par le jeu des dependances les libs manquantes.
Sinon il reste deboostrap mais c'est plus dur ...
[^] # Re: un protocle d'envoi de messages courts en XML
Posté par inico (site web personnel) . En réponse à la dépêche Jabber explose !. Évalué à 6.
Et puis, comparer au traffic p2p, ce n'est pas du xml qui va saturer les routeurs ...
[^] # Re: un protocle d'envoi de messages courts en XML
Posté par inico (site web personnel) . En réponse à la dépêche Jabber explose !. Évalué à 6.
Et il y a plus de monde qui comprend XML que ASN.1.
Et puis on n'a plus une bande passante de 0.5 kb/s hein !
# Pour ceux qui n'ont pas flash
Posté par inico (site web personnel) . En réponse au journal Extrait South Park sur le piratage (en flash). Évalué à 3.
Mplayer powaa :)
[^] # Re: Linux, c'est interdit !
Posté par inico (site web personnel) . En réponse au journal Linux et Cable. Évalué à 2.
Ils perdent donc de l'argent et donc il n'aiment pas.
Par contre je vois mal comment il le verait vu que tous l'ipv4 est natté et que l'ipv6 passe via un tunnel tspc ....
[^] # Re: Ubuntu ça évolue vite
Posté par inico (site web personnel) . En réponse au journal Ubuntu Flight CD 3. Évalué à 4.
Donc c'est une modification faite sur ma machine qui est responsable de cette situation et je ne pollue pas un bugtracker de probléme provenant de mon gout pour la bidouille foireuse.
[^] # Re: Ubuntu ça évolue vite
Posté par inico (site web personnel) . En réponse au journal Ubuntu Flight CD 3. Évalué à 2.
Et sur ma breezy c'est cassé et je sais un peu pourquoi:
sudo update-manager => Ca se lance sans probléme.
gksudo update-manager (via la console) => Ca lance aussi
gksudo update-manager (via le menu ou l'icone ) => Echec lors du lancement de /usr/bin/update-manager avec l'utilisateur root :
Child terminated with 1 status
Et comme toute l'interface graphique fais appel a gksudo, sa pose un gros probléme ...
[^] # Re: Linux, c'est interdit !
Posté par inico (site web personnel) . En réponse au journal Linux et Cable. Évalué à 2.
D'apres ce que j'ai comprend, c'est toleré du moment qu'on ne connecte pas 255 machines sur une seule connection ...
[^] # Re: Silicon.fr parle du 8 février ...
Posté par inico (site web personnel) . En réponse au journal [DADVSI] C'est pas le 17 janvier, ce sera en février. Évalué à 2.
Pour emule, le serveur est proprio mais le client libre et la doc abondante !
Pour bittorrent, c'est libre à 100% ...
[^] # Re: c'est prevu pour quand ?
Posté par inico (site web personnel) . En réponse à la dépêche Linux à la NASA. Évalué à 3.
Prepare un budget de 6 milliard d'euros/mois ....
Linux est portable mais on quand meme pas lui demandé des trucs qui vont carrement à l'encontre de la direction dans lequel il a était devellopé ....
[^] # Re: apt-show-versions
Posté par inico (site web personnel) . En réponse à la dépêche Backports.org compatible Debian Sarge. Évalué à 4.
# Captiventfs ....
Posté par inico (site web personnel) . En réponse au message Accès aux répertoires windows. Évalué à 2.
Prepare toi aux oops du kernel :)
[^] # Re: le but?
Posté par inico (site web personnel) . En réponse au journal Configuration d'un routeur derrière un modem-routeur ADSL. Évalué à 2.
Pour l'ipv6, je m'amuse avec tspc mais j'aimerai bien avoir autre chose (genre un vpn qui offre de l'ipv6 ...)
[^] # Re: proposition
Posté par inico (site web personnel) . En réponse au journal Une bibliothèque de fichiers semi-publique ?. Évalué à 2.
Et aussi consulter sa boite emails pour savoir si par hasard un internaute n'aurait pas trouver une faille sur le site ...
(Toute ressemblance avec le serveur glossa.fltr.ucl.ac.be est bien entendu une coencidence ...)
[^] # Re: le but?
Posté par inico (site web personnel) . En réponse au journal Configuration d'un routeur derrière un modem-routeur ADSL. Évalué à 1.
Donc on vire sa fonction routeur, on connecte un vrai routeur derriere et zyva !