- Tu utilises une pile et tu parcoures le texte d'entrée
- Quand tu rencontres un tag ouvrant tu le push sur la pile
- Quand tu rencontres un tag fermant tu le pop de la pile (en vérifiant que ce qu'il y a sur la pile correspond à ce que tu as en entrée
- Après le nombre de caractère que tu souhaites est scanné ce qu'il reste sur la pile est ce qui n'a pas été fermé, donc, il suffite de faire poper un à un et de mettre le tag fermant correspondant dans le texte
C'est l'esprit de ma solution ;)
la seule différence repose sur sa nécessité de transformer du BBCode en HTML, passer par l'arbre permettra de gagner sur la seconde étape de parsing pour la traduction :)
heu ... je ne sais pas comment tu te débrouilles ...
tu alternes les recherches de [ et de ] ( ou tu split sur un motif qui ressemble à \[.*\] ) quand tu n'as pas de / le suivant est un fils, quand tu as un / le suivant est un frere du pere.
apres tu parcours en profondeur d'abord ton arbre et tu ressors une chaine équilibrée.
puis si tu ne veux pas te faire chier, tu stockes le résultat en BdD.
... mais ce que tu décris me fait peur à presque 3h du mat.
il vous suffit de découper en token votre chaine, d'en faire un arbre, puis de dumper l'arbre en chaine.
ca parait lourd comme ca mais c'est la meilleur solution pour restructurer votre code, et le cout algorithmique est quasi linéaire en fonction de la longueur de votre chaine.
il n'y a aucune honte à avoir de coder et de le rendre public :)
quand je dis suxorise, c'est par rapport à ta faille de sécurité ;)
Pour ce qui est de la fatigue du codeur de LL, je connais très bien le sujet, j'ai arrêté de releaser pas mal de trucs et je ne m'en porte pas plus mal voire même mieux. Ca ne m'empeche pas de continuer à coder, de faire du code toopooree à mes yeux mais cela m'amuse.
Je t'ai donné un avis sur une coup d'oeil rapide sur ton SVN, je ne dis pas que j'ai raison, je ne dis pas que j'applique ces conseils à la lettre, mais face à un problème de sécurité, ce sont des détails qui font vite la différence.
Si il s'agit de plumeCMS, je me permet quelques conseils apres un RAPIDE coup d'oeil :
- les magicstrip & co sont des pis allés ou si tu preferes un minimum non suffisant. Il est préférable de filtrer en fonction du type de données attendus par formulaire/action/page.
- tu concatenes directement des variables dans la construction de tes requetes SQL, encore une fois, il est préférable de s'assurer que tout correspond bien aux données attendus et de quoter quand même
- ton code HTML est lui aussi produit par concaténation et tu ne quotes pas, donc il y a aussi un risque de produire de la merde par là
- tu ne sembles pas gérer les histoires de charset, hors cela permet d'injecter des betises
- tu utilises des variables pour ta conf au lieu de constantes, les variables sont RW les constantes sont RO
- tu sembles mélanger différents styles de programmation
1. donne ici le nom du CMS que tu fais.
2. donne ici le nom de la faille.
3. met sur ton site un grand bandeau "je suis en attente de retour sur la faille machin sur laquelle je ne dispose d'aucune info"
4. Ajoute des commentaires ici avec des liens sur ta page de suivi des failles rapportées ( genre un bugtracker tu vois ? )
Au résultat :
- tu trouveras peut etre une personne sur DLFP qui pourra t'aider à trouver la faille et la corriger
- tu auras referencé dans google ta volonté de corriger la faille et le fait que tu n'as aucune description correcte te permettant de corriger la dite faille
- tu gagneras en sérieux même si ton code suxorise encore actuellement
heu, l'utilisateur de base ne sait pas trop gerer ses paquets. Au mieux il sait faire une mise à jour.
Trop souvent, l'utilisateur de base fait appel au cousin du frere de la voisine qui va lui réparer son ordi parce que l'utilisateur de base a peur de casser son ordi en cliquant sur "OK" ou "Cancel".
Donc, c'est l'empaqueteur au niveau de la distrib qui décide, et en dernier recours, le futur prix nobel d'informatique à 15 ans ( le fameux cousin du frere de la voisine ) qui fera le choix final en cas de pluralité de bureau.
Perso, je constate une augmentation de la présence de FF sur certains de mes sites grand public : 40% de FF pour 98% de windows, ca me semble parlant comme nombre surtout sur un total de plus de 100 000 pages-vues mois d'apres GG Analytics.
FF3 apportait déjà quelques améliorations sympa. Avec cette derniere, ca devient plutôt cool :)
Je ne sais pas où ils en sont avec l'intégration de Tamarin ( ils annoncent encore sont integration dans Mozilla 2 pour le courant 2008 : http://www.mozilla.org/projects/tamarin/ ). Tamarin semble tjr etre un projet non intégré dans SeaMonkey ou dans FF.
Il ne manquerait plus qu'une bonne gestion de la mémoire et d'autres petits trucs sympas pour en faire un excellent outil ( ce qu'apporte en parti Tamarin ).
Toujours est il qu'il semblerait qu'il faille s'attendre encore à d'autres amélioration ...
Que du bon pour la 3.1 et du meilleur pour la suite.
Tu sais, tu reinstalles une distrib sans reformater le disque, ou tu utilises un liveCD ... et tu peux acceder aux données de ton predecesseur.
Il me semble que quasiment toutes les distributions ont des " lacunes " à ce niveau.
L'ubuntu bashing est facile, mais as tu seulement essayé sur d'autres distrib ?
Et un recovery mode à quoi sert il ?
N'est ce pas à ton niveau que tu te trompes sur le role du recovery mode ?
Car comment passer en recovery mode si /etc/passwd et /etc/shadow sont corrompu ?
yet another stupid password ?
Quand j'arrete d'utiliser une machine, je m'assure que mon /home n'est pas trop facilement récupérable ...
tu vois ou est le soucis ?
Il n'est pas dans Ubuntu, il est dans la politique de sécurité de la boite qui ne gere pas correctement son parc et dans ton predecesseur qui n'a que faire de ses données et de l'usage qui en etre fait.
* crontab - permet de prendre l'entrée standard, comme contenu de la crontab
* | ssh host crontab - permet de prendre la sortie standard local pour l'envoyer en entrée standard distante sur la machine host
en gros l'idée est : for host in 'h1 h2 h3 h4'; do
cat crontab | ssh $host crontab -
done
apres, il te suffit de deployer des sur les machines h1, h2, h3 et h4 et surtout de spécifier dans ton authorized_keys et le sshd_config distants certaines contraintes pour securiser un peul l'ensemble en empechant d'offrir un shell à un attaquant.
* tu as l'option command= pour ton authorized_keys qui permet de n'autoriser qu'un seul programme à fonctionner quand on lance ssh avec la clé correspondant ( par exemple un filtre de contenu avant de risquer d'ecrire un wget dans ta crontab avec un bete crontab - )
* tu as l'option PermitRootLogin force-command-only qui si tu dois autoriser le login root par ssh, te permet de fournir qu'un shell restreint.
ca a l'air super sympa comme outil ... alors pourquoi ne pas avoir fait une dépêche ?
les bons points pour en faire une depeche sont :
- site interessant
- outils utile et fonctionnel
- besoin d'aide pour du port
- potentiellement besoin d'aide pour avoir des binding perl/python/ruby/php ...
un petit village francais avait fait venir un medecin roumain pour remplacer l'absence de médecin dans la commune. Il avait appart de fonction gratis & co.
Il est parti au bout de 6 mois en disant aux journalistes qui l'ont interviewé, qu'il avait plus l'impression de vivre dans pays en voie de développement ( ou tiers monde je ne sais plus ) que dans une grande puissance économique.
Le mec est reparti vivre en roumanie ...
Et dire que l'on a peur du plombier polonais : ca devrait etre en pologne qu'ils devraient flipper.
Le reve francais existe et il vaut l'american dream : pleins d'illusions au départ, pleins de désillusions à l'arrivée.
Vous vous souvenez de l'URSS ? image d'une puissance militaire et spatiale d'un coté, famine, pauvreté et répression sécuritaire de l'autre.
Je me demandais si il existait des benchmarks perf/tenue en charge des differentes solutions de blogging.
parce que faire le choix d'un outil ( blog/cms/wiki ) pour devoir ajouter un squid devant, je trouve ca bete :(
personnellement, l'aspect fonctionnalité est plutôt secondaire pour moi, si l'application est réactive cela sera plus agréable qu'un truc super complet mais d'une lenteur incroyable
J'en ai ras le cul de Dan Kaminsky et de sa faille qu'il aille flooder d'autres machines ... ce n'est pas ce qui manque sur le net pourtant.
Si tu trouves qu'il faut faire une dépeche ici, vas y ... mais je voterais très certainement contre car je sature de recevoir son flood toutes les heures en alerte.
Donc, dans les deux cas, j'ai la carte mere et le CPU qui ont été endommagé sans rien de visible :(
pour éviter cela :
- ne pas enfermer l'UC, il faut que ton UC soit dans un espace aéré avec un véritable couloir de ciculation d'air à l'extérieur
- mieux vaut avoir trop de ventilo que pas assez !
Sinon, c'est bien beau de refroidir son CPU, si c'est pour chauffer le boitier ... ca me fait penser à pleins de clims inutiles car fenetres ouvertes ou tout simplement parce que la clim expluse sur un mur non étanche qui va chauffer la pièce grace à la chaleur dégagée par la clim.
Donc, je me repete, circulation de l'air, dépoussiérage fin avril debut mai, ventilo à roulement à billes partout, et surtout une ventilation thermorégulable soit de manière autonome soit par la carte mère.
# la disparition
Posté par Mouns (site web personnel) . En réponse au journal 500 portables XO (projets OLPC) distribués sur l'île de Niué. Évalué à 10.
sinon C'est :
- give onE get onE http://wiki.laptop.org/go/Give_One_Get_One
- machinE
- ...
[^] # Re: les regexps ne resolvent pas tout
Posté par Mouns (site web personnel) . En réponse au message Je suis nul en expression reguliere :(. Évalué à 4.
- Quand tu rencontres un tag ouvrant tu le push sur la pile
- Quand tu rencontres un tag fermant tu le pop de la pile (en vérifiant que ce qu'il y a sur la pile correspond à ce que tu as en entrée
- Après le nombre de caractère que tu souhaites est scanné ce qu'il reste sur la pile est ce qui n'a pas été fermé, donc, il suffite de faire poper un à un et de mettre le tag fermant correspondant dans le texte
C'est l'esprit de ma solution ;)
la seule différence repose sur sa nécessité de transformer du BBCode en HTML, passer par l'arbre permettra de gagner sur la seconde étape de parsing pour la traduction :)
[^] # Re: les regexps ne resolvent pas tout
Posté par Mouns (site web personnel) . En réponse au message Je suis nul en expression reguliere :(. Évalué à 3.
tu alternes les recherches de [ et de ] ( ou tu split sur un motif qui ressemble à \[.*\] ) quand tu n'as pas de / le suivant est un fils, quand tu as un / le suivant est un frere du pere.
apres tu parcours en profondeur d'abord ton arbre et tu ressors une chaine équilibrée.
puis si tu ne veux pas te faire chier, tu stockes le résultat en BdD.
... mais ce que tu décris me fait peur à presque 3h du mat.
# les regexps ne resolvent pas tout
Posté par Mouns (site web personnel) . En réponse au message Je suis nul en expression reguliere :(. Évalué à 2.
ca parait lourd comme ca mais c'est la meilleur solution pour restructurer votre code, et le cout algorithmique est quasi linéaire en fonction de la longueur de votre chaine.
[^] # Re: En même temps...
Posté par Mouns (site web personnel) . En réponse au journal La France c'est bien, l'Amérique c'est nul. Évalué à 4.
[^] # Re: better, harder, stronger
Posté par Mouns (site web personnel) . En réponse au journal Firefox: Encore plus vite que vite. Évalué à 3.
Il y a encore 1 an sur ma population de windowsiens, FF était à 30% et IE 65%.
Par contre, je ne note aucune progression de Linux.
[^] # Re: idée toute simple
Posté par Mouns (site web personnel) . En réponse au journal Comment tuer un développeur de LL*. Évalué à 2.
quand je dis suxorise, c'est par rapport à ta faille de sécurité ;)
Pour ce qui est de la fatigue du codeur de LL, je connais très bien le sujet, j'ai arrêté de releaser pas mal de trucs et je ne m'en porte pas plus mal voire même mieux. Ca ne m'empeche pas de continuer à coder, de faire du code toopooree à mes yeux mais cela m'amuse.
Je t'ai donné un avis sur une coup d'oeil rapide sur ton SVN, je ne dis pas que j'ai raison, je ne dis pas que j'applique ces conseils à la lettre, mais face à un problème de sécurité, ce sont des détails qui font vite la différence.
[^] # Re: idée toute simple
Posté par Mouns (site web personnel) . En réponse au journal Comment tuer un développeur de LL*. Évalué à 10.
- les magicstrip & co sont des pis allés ou si tu preferes un minimum non suffisant. Il est préférable de filtrer en fonction du type de données attendus par formulaire/action/page.
- tu concatenes directement des variables dans la construction de tes requetes SQL, encore une fois, il est préférable de s'assurer que tout correspond bien aux données attendus et de quoter quand même
- ton code HTML est lui aussi produit par concaténation et tu ne quotes pas, donc il y a aussi un risque de produire de la merde par là
- tu ne sembles pas gérer les histoires de charset, hors cela permet d'injecter des betises
- tu utilises des variables pour ta conf au lieu de constantes, les variables sont RW les constantes sont RO
- tu sembles mélanger différents styles de programmation
# idée toute simple
Posté par Mouns (site web personnel) . En réponse au journal Comment tuer un développeur de LL*. Évalué à 10.
2. donne ici le nom de la faille.
3. met sur ton site un grand bandeau "je suis en attente de retour sur la faille machin sur laquelle je ne dispose d'aucune info"
4. Ajoute des commentaires ici avec des liens sur ta page de suivi des failles rapportées ( genre un bugtracker tu vois ? )
Au résultat :
- tu trouveras peut etre une personne sur DLFP qui pourra t'aider à trouver la faille et la corriger
- tu auras referencé dans google ta volonté de corriger la faille et le fait que tu n'as aucune description correcte te permettant de corriger la dite faille
- tu gagneras en sérieux même si ton code suxorise encore actuellement
[^] # Re: Bah, c'est comme les écrans brillants !
Posté par Mouns (site web personnel) . En réponse au journal Adieu les écrans normaux. Évalué à 3.
[^] # Re: Ce sont les utilisateurs de base qui décident
Posté par Mouns (site web personnel) . En réponse au journal kde 3.x, ergonomie & bureaux modernes. Évalué à 4.
Trop souvent, l'utilisateur de base fait appel au cousin du frere de la voisine qui va lui réparer son ordi parce que l'utilisateur de base a peur de casser son ordi en cliquant sur "OK" ou "Cancel".
Donc, c'est l'empaqueteur au niveau de la distrib qui décide, et en dernier recours, le futur prix nobel d'informatique à 15 ans ( le fameux cousin du frere de la voisine ) qui fera le choix final en cas de pluralité de bureau.
# better, harder, stronger
Posté par Mouns (site web personnel) . En réponse au journal Firefox: Encore plus vite que vite. Évalué à 4.
FF3 apportait déjà quelques améliorations sympa. Avec cette derniere, ca devient plutôt cool :)
Je ne sais pas où ils en sont avec l'intégration de Tamarin ( ils annoncent encore sont integration dans Mozilla 2 pour le courant 2008 : http://www.mozilla.org/projects/tamarin/ ). Tamarin semble tjr etre un projet non intégré dans SeaMonkey ou dans FF.
Il ne manquerait plus qu'une bonne gestion de la mémoire et d'autres petits trucs sympas pour en faire un excellent outil ( ce qu'apporte en parti Tamarin ).
Toujours est il qu'il semblerait qu'il faille s'attendre encore à d'autres amélioration ...
Que du bon pour la 3.1 et du meilleur pour la suite.
[^] # Re: mouarf
Posté par Mouns (site web personnel) . En réponse au journal Ubuntu pas très sécurisée.... Évalué à 5.
[^] # Re: ssh + crontab
Posté par Mouns (site web personnel) . En réponse au message Déploiement massif de fichiers crontab. Évalué à 2.
pense à regarder l'option command= elle pourra t'assurer un petit plus en cas d'attaque contre les clés, si tu sais coder un peu ;)
# mouarf
Posté par Mouns (site web personnel) . En réponse au journal Ubuntu pas très sécurisée.... Évalué à 10.
Il me semble que quasiment toutes les distributions ont des " lacunes " à ce niveau.
L'ubuntu bashing est facile, mais as tu seulement essayé sur d'autres distrib ?
Et un recovery mode à quoi sert il ?
N'est ce pas à ton niveau que tu te trompes sur le role du recovery mode ?
Car comment passer en recovery mode si /etc/passwd et /etc/shadow sont corrompu ?
yet another stupid password ?
Quand j'arrete d'utiliser une machine, je m'assure que mon /home n'est pas trop facilement récupérable ...
tu vois ou est le soucis ?
Il n'est pas dans Ubuntu, il est dans la politique de sécurité de la boite qui ne gere pas correctement son parc et dans ton predecesseur qui n'a que faire de ses données et de l'usage qui en etre fait.
# ssh + crontab
Posté par Mouns (site web personnel) . En réponse au message Déploiement massif de fichiers crontab. Évalué à 6.
* crontab - permet de prendre l'entrée standard, comme contenu de la crontab
* | ssh host crontab - permet de prendre la sortie standard local pour l'envoyer en entrée standard distante sur la machine host
en gros l'idée est :
for host in 'h1 h2 h3 h4'; docat crontab | ssh $host crontab -
done
apres, il te suffit de deployer des sur les machines h1, h2, h3 et h4 et surtout de spécifier dans ton authorized_keys et le sshd_config distants certaines contraintes pour securiser un peul l'ensemble en empechant d'offrir un shell à un attaquant.
* tu as l'option command= pour ton authorized_keys qui permet de n'autoriser qu'un seul programme à fonctionner quand on lance ssh avec la clé correspondant ( par exemple un filtre de contenu avant de risquer d'ecrire un wget dans ta crontab avec un bete crontab - )
* tu as l'option PermitRootLogin force-command-only qui si tu dois autoriser le login root par ssh, te permet de fournir qu'un shell restreint.
[^] # Re: GREYC's Anatomy
Posté par Mouns (site web personnel) . En réponse au journal G'MIC : Un nouvel outil libre de manipulation d'images. Évalué à 3.
Faire une dépêche de temps en temps sur ce que tu fais, augmentera la visibilité et les retours sur ton soft.
# GREYC's Anatomy
Posté par Mouns (site web personnel) . En réponse au journal G'MIC : Un nouvel outil libre de manipulation d'images. Évalué à 6.
les bons points pour en faire une depeche sont :
- site interessant
- outils utile et fonctionnel
- besoin d'aide pour du port
- potentiellement besoin d'aide pour avoir des binding perl/python/ruby/php ...
# on est une des premières puissances mondiales !
Posté par Mouns (site web personnel) . En réponse au journal [humeur] la France des loosers. Évalué à 1.
un petit village francais avait fait venir un medecin roumain pour remplacer l'absence de médecin dans la commune. Il avait appart de fonction gratis & co.
Il est parti au bout de 6 mois en disant aux journalistes qui l'ont interviewé, qu'il avait plus l'impression de vivre dans pays en voie de développement ( ou tiers monde je ne sais plus ) que dans une grande puissance économique.
Le mec est reparti vivre en roumanie ...
Et dire que l'on a peur du plombier polonais : ca devrait etre en pologne qu'ils devraient flipper.
Le reve francais existe et il vaut l'american dream : pleins d'illusions au départ, pleins de désillusions à l'arrivée.
Vous vous souvenez de l'URSS ? image d'une puissance militaire et spatiale d'un coté, famine, pauvreté et répression sécuritaire de l'autre.
[^] # Re: Vente liée
Posté par Mouns (site web personnel) . En réponse au journal Rapport Annuel des activités de microsoft : Les facteurs de risque. Évalué à 10.
tous ces produits baffouent les droits élémentaire des utilisateurs à choisir MS Windows dessus !
# dotclear 2.0 ?
Posté par Mouns (site web personnel) . En réponse au journal Quel bug tracker utiliser ?. Évalué à 2.
Tu peux meme avoir en prime des jolies skins.
Et je trouve qu'un joli bug tracker leger c'est mieux qu'une usine à gaz toute laide.
# benchmark
Posté par Mouns (site web personnel) . En réponse au journal Dotclear 2.0 is août. Évalué à 3.
parce que faire le choix d'un outil ( blog/cms/wiki ) pour devoir ajouter un squid devant, je trouve ca bete :(
personnellement, l'aspect fonctionnalité est plutôt secondaire pour moi, si l'application est réactive cela sera plus agréable qu'un truc super complet mais d'une lenteur incroyable
[^] # Re: tu n'en as pas assez avec ton syslog ?
Posté par Mouns (site web personnel) . En réponse au journal Abscence de communication autour du risque potentiel de corruption de cache DNS. Évalué à 2.
options { listen-on port 53 { 127.0.0.1; }; };
Ca permet de filtrer pas mal ainsi :)
Le serveur dont je parle, annonce quelques zones, donc je dois le laisser quand meme un peu accessible ...
# tu n'en as pas assez avec ton syslog ?
Posté par Mouns (site web personnel) . En réponse au journal Abscence de communication autour du risque potentiel de corruption de cache DNS. Évalué à 4.
Jul 31 11:16:34 hst1 named[17959]: client 149.20.56.10#10053: query (cache) 'not-an-attack.dan-kaminsky.browse-deluvian.doxpara.com/ANY/IN' denied
Jul 31 11:51:17 hst1 named[17959]: client 149.20.56.10#10053: query (cache) 'not-an-attack.dan-kaminsky.browse-deluvian.doxpara.com/ANY/IN' denied
Jul 31 11:55:44 hst1 named[17959]: client 149.20.56.10#10053: query (cache) 'not-an-attack.dan-kaminsky.browse-deluvian.doxpara.com/ANY/IN' denied
certaines heures, j'en ai plus d'une dizaine ...
J'en ai ras le cul de Dan Kaminsky et de sa faille qu'il aille flooder d'autres machines ... ce n'est pas ce qui manque sur le net pourtant.
Si tu trouves qu'il faut faire une dépeche ici, vas y ... mais je voterais très certainement contre car je sature de recevoir son flood toutes les heures en alerte.
# deja perdu 2 machines comme ca
Posté par Mouns (site web personnel) . En réponse au message conséquences d'une surchauffe. Évalué à 5.
pour éviter cela :
- ne pas enfermer l'UC, il faut que ton UC soit dans un espace aéré avec un véritable couloir de ciculation d'air à l'extérieur
- mieux vaut avoir trop de ventilo que pas assez !
Sinon, c'est bien beau de refroidir son CPU, si c'est pour chauffer le boitier ... ca me fait penser à pleins de clims inutiles car fenetres ouvertes ou tout simplement parce que la clim expluse sur un mur non étanche qui va chauffer la pièce grace à la chaleur dégagée par la clim.
Donc, je me repete, circulation de l'air, dépoussiérage fin avril debut mai, ventilo à roulement à billes partout, et surtout une ventilation thermorégulable soit de manière autonome soit par la carte mère.