PLuG a écrit 1016 commentaires

pauvre script kiddy en panique !

ca me fait penser au jour ou un type scannait mon firewall alors que j'etais la.
je lui ai envoyé un mail venant de root@samachine et lui demandant d'arreter ses conneries [il avait laissé le port 25 ouvert et sendmail mal configuré] ... j'imagine sa tronche en lisant le mail :-))

n'importe quoi qui ecoute sur le port 80 fera l'affaire. tu peux utiliser netcat "nc" en listen sur le port 80 et le faire logguer tout ce qu'il recoit dans un fichier.
netcat c'est un petit utilitaire TRES sympa !!
[d'ailleurs je vais de ce pas relire son man]

Il faut a mon avis se méfier des automatismes trop poussés. A ta place, je limiterai mon script au remplissage d'une liste d'adresse email... que tu pourras vérifier rapidement avant d'envoyer ton message. Par exemple les adresses IP appartenant à un ISP vont t'indiquer une adresse Email qui ne correspond pas du tout à un administrateur de la machine. Du coup tu peux faire tes interrogations whois plus tard et ne garder que la liste des IP.

Cela soulève encore la question: un ISP est il responsable de ce que font ses clients sur Internet ? [comme heberger des vers].

Je ne vois pas ce qui te gène avec la présence policière.
De mon coté, cela ne me fait rien de croiser policiers, gendarmes et militaires dans les endroits publics. Ca rend même service:
1 -chutte de la petite délincance.
2 -rassure les mémés.
3 -occupe tout ce beau monde.

rien que le 1 justifie leur présence. C'est la petite délincance qui effraie les gens et les pousse à voter de plus en plus radical.

Effectivement.
Sans changer d'avis (on peut malheureusement penser que ses paroles refletent sa pensée :-( ),
il est sûr qu'il utiliserait un language plus modéré, moins affirmatif ... voire il s'abstiendrait de répendre ses idées ici. Vu qu'elles sont loin du sujet du site, ce serait pas plus mal.

Faut juste penser à changer l'adresse mac de la carte avant de sténographier :-)

La prochaine fois, un petit rappel sur la seule vraie mécanique, celle des machines à vapeur ?
Non, la techno a vapeur est dépassée en terme de perfs. Par contre on pourrait re-parler des moteurs à explosion 2 temps. BEAUCOUP plus performant que les 4 temps qui équipent toutes nos voitures/motos ... mais moins bon en longévité, pollution, ...

<carrement hors sujet>--> -1

<provoc>
gaspiller une ressource parce-qu'elle est de moins en moins chère, c'est précisément le travers de la société de consommation actuelle ou l'on ne répare plus rien et on jette beaucoup. Alors de la à dire que c'est à cause des développeurs fainéants que l'on n'aura bientôt plus de forêt ...
</provoc>

Oui - on s'est écarté du sujet pour parler de GC de facon plus générale ... alors qu'il n'y en a peut etre pas pour Qt (surement pas).
C'est de ma faute (post GC/JAVA) mais j'ai appris pas mal de choses ... C'est la le principal interet des commentaires: voir les différents points de vue sur un sujet, constater que comme d'hab rien n'est blanc ou noir ...

Bon puisque-tu réponds dans 2 sous-thread de mon post calomnieux pour les GC, sache que:
1/ mes propos etaient amplifiés par l'envie de faire réagir.
2/ ton post dans ce sous-thread est le premier a parler de malloc() [d'ou free()dans ma réponse] et "d'utiliser l'ordinateur pour les taches répétitives et simples" [d'ou mon "aidé des outils automatiques"]. De plus, désolé de le dire, mais ce post ne reflétait pas vraiment l'expérience d'un développeur confirmé... d'ou mon ton "moqueur".

Je sais pertinament que les GC ne sont pas mauvais en soit. La tendance actuelle a en mettre de partout est sans doute l'origine de mon premier post ...

Quand je fais du développement, c'est plutôt axé système. Petit daemon proprietaire, portage de midleware ... donc beaucoup de C, peu de C++, mais quand même pas mal de lignes dans certains cas... On implémente tous un jour ou l'autre un compteur de références sur une ressource pour savoir si on peut la libérer ou pas [genre lien hard sur les fichiers]. Je voulais attirer l'attention sur le fait que le GC à un cout non négligeable en termes de perf, et que heureusement il y a bien des projets ou l'on peut s'en passer. L'implémentation "forcée" de GC comme dans java me semble:
1/ puissante
2/ dangereuse puisque utilisée même quand pas necessaire.

Quand on lit l'URL que tu as donné dans l'autre sous-thread, on y voit aussi que le type de MS voudrait bien se passer de GC si il pouvait pour son projet...

Maintenant ton exemple en C++:
OK dans ce ca sil y a dilemne, mais es-tu sur que le modele "objet" de ta fenetre est bon ? Pourquoi des pointeurs vers une chaine interne à l'objet devraient-ils être conservés en dehors de l'objet ? Pourquoi l'objet devrait-il etre détruit avant que les traitements s'y rapportant [ceux qui ont besoin de la chaine] soient terminés ? A mon avis, cet exemple montre un problème de design plus profond...

malloc() c'est pour les cons qui ne savent pas gérér où placer leur données dans la mémoire.
Bien sur que non. Ou ai-je dit cela ?
Ce que je dit c'est que grosso-modo, on devrait trouver au moins autant de free() que de malloc dans le code. C'est très différent. Je ne suis pas contre les variables dynamiques, je suis contre les GC censés savoir mieux que le developpeur QUAND il faut libérer la mémoire. Y a une nuance.

Qu'un ordinateur effectue un travail compliqué et repetitif à la place d'un être humain...
Apparement, tu as besoin d'un cours sur l'optimisation:
1er cas: le developpeur (aidé des outils automatiques qu'il veut) trouve QUAND libérer les ressources et place l'appel a la fonction free() au bon endroit dans son code.
2ieme cas: le développeur utilise un GC pour libérer les ressources quand ils ne les utilises plus.

conséquence:
1er cas exécuté une seule fois pour toute.
2ieme cas exécuté en parallèle du traitement à chaque éxécution.

Je ne te parle pas de coder en assembleur, ou en héxa directement pendant que tu y es, mais de savoir ce que l'on fait.
Quand je fait un malloc(), je sais a quel moment je n'aurai plus besoin de l'espace et je fais le free() qui va bien.
A la rigueur on peut laisser l'OS nettoyer à la mort du process si la zone mémoire est utilisée pendant toute la vie du process [mais c'est crade], mais compter sur un GC je pense que c'est du gaspillage.

Permet moi de ne pas etre d'accord sur tout.
Evidement tu aura vu le caractere satirique de mon post précédent :-).
Oui il existe certainement des GC efficaces. De mon coté, j'ai déjà vu que les temps de réponse de websphere sont variables ... justement a cause du lancement inopportun du GC de la JVM.

Par contre, c'est sans appel pour moi, il y a pléthore d'outils pour débusquer les memory leak et quand on s'en appercoit d'une fuite mémoire, corriger le bug n'est pas très compliqué ... si l'algo est clair.
Cela nous ammène plus loin:
Pour moi, un dev qui ne trouve pas un memory leak dans son propre code, c'est qu'il ne maitrise pas l'algo qu'il est en train d'implementer. Sinon, trouver ou placer le free() est assez simple.
Seulement on ne veut plus prendre le temps de réflechir, on code à la volée des algos supposés simples mais sans vraiment les maitriser, à coup de modifications par-ci par-la pour obtenir le résultat ...
Bref je m'insurge contre ce mode de développement.
Croyez-vous que nous aurions des outils système performants si personne ne passait un peu de temps à CONCEVOIR avant de coder ? Et bien penser à la libération des ressources lors de la conception c'est pas plus compliqué que le reste !!

Noooon !
n'allez pas rajouter toutes les merdes de JAVA (GC) dans C++ !!

le garbage collector c'est une invention pour developpeur fainénant qui au lieu de réflechir au bon moment pour libérer la mémoire préfère qu'un algo s'en charge pour lui. [le premier qui avoue qu'il ne sait pas quand il doit liberer la mémoire, je lui retire son clavier !!]
C'est ce genre de développement opportuniste, qui fait que nos CPU sont puissants mais qu'on n'en profite pas, occupé qu'ils sont a garbage collecter au lieu de calculer !!

Evidement mais je pense que cela n'est pas aussi simple.
Très souvent pour les vols intérieurs aux USA, il n'y a qu'un seul controle d'identité (ce qui signifie qu'a la première escale, tu peux donner ton billet a qqun d'autre qui finira le voyage a ta place). Un controle d'identité suffirait, mais un contrôle d'empruntes digitales pourrait être fiable et automatique (portail electronique).

De plus, 3 des passagers de l'avion etaient connus des services anti-terroristes. Un conrtole d'emprunte aurait peut-etre permis de se méfier plus !!

Quand au délit de sale gueule évidement c'est le risque de tout contrôle... sauf s'il est automatique (peux-t'on trouver des corélations entre les empruntes digitales et des critères qui mènent au racisme aujoud'hui ?)

Mais le "support" pour les DSI ne s'arrete pas aux contrats avec les grandes distributions.
Les DSI savent bien que les 2 fois ou elles ont voulu téléphoner à Monsieur Microsoft elles ont poireauté 2 heures au téléphone et n'ont jamais obtenu de réponse. Elles s'en souviennent...

Quand on vends du linux, il faut le vendre avec le bagage opensource qui va bien: Le support contractuel est possible, mais surtout on a les billes (en interne, avec une SSII ...) pour trouver le problème, corriger le petit bug, adapter le logiciel à notre architecture particulière ... on est pas "planté" dans un coin sasn moyen d'action !!

Il y a un role MAJEUR a faire jouer aux SSII qui veulent s'en donner la peine. Et la, plus de probleme de version, de distribution ni de développement propriétaire. A mo avis, un bon contrat de maintenance avec une SSII peut rassurer beaucoup de DSI.

Dans les commentaires, c'est pas grave mais en première page autant de fotes ça fait mal aux yeux :-)

s/états/état/
s/survivant/survivants/
s/communautés/communauté/
s/attentat/attentats/
s/parlez/parlé/
s/personne/personnes/
s/notez/noter/
s/lien/liens/

envoyer des numéros de téléphone ?
la phrase est mal tournée.
=> une multitude de liens et de numéros de téléphone pour envoyer des dons, consulter des registres, ...

<auto -1>

Humm je repond point par point parce que j'ai peur de pas tout avoir capté la ... d'ailleur je pense que toi non plus, t'as bien fait de poster en Anonyme :-)

>je colle un pitit script php sur mon site internet
>qui detecte les ip d'un certain domaine (au hasard wanadoo-cable)
OK, donc t'as mon IP. C'est pas un secret.
pas besoin de se faire ch** a coder un tric pour ca, y a les logs des serveurs ou je me connecte ...

>ce script me mail ou envoi ces ip a ma machine connecte'e ailleurs (dialup) qui lui se charge de generer des paquets ip spoofe's (bien sur) et contenant pour adresse ip source: la tienne.
>(un pitit serveur ecrit en perl ou en c)
Si tu veux. Quel est l'interet d'utiliser une autre machine ?

>au hasard je lance une demi douzaine de requetes repetitives a des machines (au hasard celle de wanadoo-cable) en flooding qui ne comprenant pas d'ou tu viens te renverrais des paquets de reset
(je crois) parce que tu n'as initie' aucune
connexion reguliere.
Effectivement. Et alors ? le compteur c'est pour l'UPLOAD. la tu genere des paquets qui vont vers moi et auxquels je ne reponds pas. Tu bouffe ma bande passante, mais mon compteur ne bronche pas.
(et encore pour bouffer de la bande passante avec des paquets RST faut deja en vouloir. si ta machine est en dialup, elle va pas me faire bien mal !!)

>meme si tu ne repond pas au ping, tu surfes/chat/ftp etc... quand meme et ton ip apparait meme si elle est provisoire (24 h non?)
Elle n'est pas provisoire du tout (le dhcp a la bonne habitude de redonner la meme adresse si possible et ma machine ne se deconnecte que tres rarement - genre changement de kernel a cause du bug FTP y a pas longtemps.
Ces problemes de deconnections c'est seulement pour les abonnés adsl.

>mais, si la comptabilisation se fait au niveau des paquets de données effectivement downloade' (je sais pas comment ils feraient pour les dissocier)
Pour dissocier quoi de quoi ?
Le compteur c'est pour l'UPLOAD. Et encore, ils ont estimé que 10% du trafic en upload est du au protocole (RST/ACK/requetes...). Du coup wanadoo releve le compteur d'upload de ton modem, il font un abattement de 10% et si ca dépasse encore 500Mo pour le mois ils te facturent un supplément.

>tu ne paierais pas plus et il y aurait un moyen de contourner le truc et ne rien payer dans ce cas... ;)
Si tu paiera toujours l'abonnement 300 balles par mois pour 512Kbps et 500Mo d'UPLOAD dans le mois.
Et c'est d'ailleur la seule chose qu'il y ai a payer.

>pour finir, tu ne reponds pas a quel ping ?
>icmp / udp ?
je ne repond a aucun icmp.
j'en emet certains (echo-request) et j'en recois plus (echo-reply,*-unreachable ...)
en UDP je ne tolere que des réponses a des UDP que j'ai envoyé et que sur les port 123 (venant de certaines machines) et 53.
en TCP meme combat statefull firewall et que certains ports d'autorisés en sortie.

le seul moyen de faire emettre des paquets ca doit etre les requetes ARP comme je l'ai déjà dit plus haut.

mea culpa. effectivement je viens de RTFA... un peu tard !!
La news est trompeuse. Leur techno semble plutot sympa ... si tous les FAI s'y mettent.

8 mois de rien du tout (pas de prison) c'est pas très grave.
De plus l'amende - elle - est dérisoire.

Je connais plein de gens qui seraient intéressé par un jeu de belote en réseau.
(simple, contrée (coinchée)) ...

Je suis d'accord avec toi que cette "technologie" n'a pas l'air très inovante (et facile à réaliser avec un linux et quelques outils).

Quand à la soit-disante "technologie en sommeil", ipchains, un script bash de 5 lignes avec cut, grep, et sed, et elle est au point, leur technologie !
Cependant cette methode ne fonctionne que si tu connais a l'avance la liste des IP a facturer et que tu crée une règle par IP ... ce qui va ralentir ton routeur.
La techno est surement basée sur un sniffer/une sonde.
un truc a base de tcpdump ...ou snort quoi

Trouvez vous cela normal ?

NON évidement. j'ai même failli posté une News suite a son message sur bugtrack, puis je me suis dit que d'autres lecteurs de bugtrack le feraient ...
Ca ramène des débats dejà bien connus de linuxfr comme "sécurité par l'obscurité" par exemple.
Les puissances au pouvoir préfèrent qu'il arrete de publier ses découvertes alors qu'il le faisait dans un bon esprit et en laissant du temps aux constructeurs pour corriger les problèmes ...

C'est pas vrai Aurelien, tu nous fait pas le coup du source routing !!

Je cite ton URL:
Néanmoins, la grande majorité des routeurs d'aujourd'hui ne prennent pas en compte cette option IP et jettent tous paquets IP l'utilisant.

Ca c'est du /hacking/ip qui date de 10 ans !!

bah tu peux le blinder de requetes ARP. Effectivement ma machine y répond (ca va pas aller vite ... je vais ajouter une limite/seconde de nombre de requetes ARP venant des voisins :-)
Mais:
Pour m'attaquer tu dois etre sur le même brin de cable wanadoo que moi (SQY).
Par défaut cable wanadoo empeche les voisins de cable de se causer entre eux (pour eviter de voir le voisin dans le voisinage reseau)... il faut donc EN PLUS que ta cible ait souscrit à l'option pour pouvoir causer à ses voisins (sinon c'est pas possible).

papy, la méthode marche toujours ?

tiens je t'ai deja répondu mais ca n'apparait pas (bug dacode ?)


Petite précision : les serveur de echo-request, ça n'existe pas.
mon clavier a fourché, je parlais évidement de serveur d'echo-reply qui sont très nombreux sur Internet :-)

En sachant que le compteur est dans le modem, est-ce que ta méthode fonctionne toujours ??

Sauf que a ma connaissance, le compteur est dans TON modem cable...
il y avait meme une astuce pour reseter ce compteur avec les modem utilisés par Noos.