syj a écrit 630 commentaires

Et si un programme indésirable restait dans ton /home , tu l'as maintenu sur ta nouvelle installation ;-)

C'est quoi rbac ?

Sur une Ubuntu par défaut, je peux écrire
$HOME/.bashrc
$HOME/.bash_profile
Créer un crontab
find $HOME/.mozilla -name "*.js"
.../firefox/m214vywe.default/prefs.js
.../default/mttfa3wv.slt/prefs.js

Au lancement de X, on va executer les scripts suivant:
USRRESOURCES=$HOME/.Xresources
USERXSESSION=$HOME/.xsession
ALTUSERXSESSION=$HOME/.Xsession

Tout çà, c'est sans compter les différents fichiers de configuration des WindowsManager qui vont te permettre d'effectuer certaines actions genre parametre tes menus ou le lancement d'application dans la barre de tâche.

En fait, c'est tellement compliqué qu'il est impossible de mettre en oeuvre une application qui va contrôller tous ses parametres.

Avec çà, si tu veux les consulter toi même, il te faudra un temps fou pour y arriver.

J'y ai pensé cette nuit. çà peut pas marcher ce morceau de code. L'antivirus pourrait detecter l'executable à l'écriture sur disque ou au lancement.

Entierement d'accord.

Pour completer le propos, un programme executer dans l'espace utilisateur peut faire tout çà:
- ouvrir une backdoor pour un opérateur humain extérieur au réseau bipassant de cette manière les firewall.
- lancer un key logger (sous Windows sûr, sous Linux je crois que c'est possible sans être root).
- spammer.
- bloquer le système.
- voler des données.
- lancer D.O.S. sur des serveurs.
- afficher de la pub.

C'est pourquoi il est interressant de se demander comment limiter qu'un programme malveillant s'installe sur un compte utilisateur.

> Le nom de domaine syj.fr.st est bloqué. Une enquete est en cours >sur ce nom de domaine pour non conformité avec la charte Ulimit.com. >La redirection des pages web n'est plus active et le routage des >courriers electroniques n'est plus assuré pour une durée indéterminée.
> http://nfltest.ulimit.com/fr/locked.php?d=ab:6_WNS7N69

Ouaip, je me rappelais plus de cette page web.

http://jsaintyv.free.fr

Tu as déjà vu un malware catholique : ).

sinon tu as:
c = ' ... ... ';
file = open('pabo.js');
for(idx=0;idx < c.length;idx++) {
write(file,c[idx]-2);
}
exec('pabo.js');

> un utilisateur de base ne peut pas modifier le .bashrc

Pense à vérifier que tes utilisateurs ne peuvent pas crée un fichier
.xsession dans leur répertoire home : )

>« Par contre, il est très simple d'injecter un script dans un autre script. »
>ah ouais ?

echo " ... script pas bo ... " >> $HOME/.bashrc

ou plus sophistiqué au début d'une fonction choisie au hasard.

De toute façon tant que le code ne modifie pas le contexte. Il pourrait pratiquement s'injecter à chaque retour chariot.

Certains langage de script permette la mise en place de fonction callback qui vont être rappelé après une tempo dans un nouveau thread.

Il y a plein de moyen. Une méthode trivial est néanmoins très efficace et d'utiliser la fonction eval, decode et encode ?
Trois fonction, javascript.
eval : interprete et execute le code javascript d'une chaine
encode : encode une chaine pour l'utiliser dans une url
decode :

var c;
c = '... /* virus encode chaque caractères décalé de 2 */...';
for(idx=0; idx < c.length;idx ++) {
c[idx] = c[idx] - 2
}
eval (c);

Dans le code du virus , tu as une partie de code qui se charge de remplacer le nom des variables et le tour est joué.

Sur Ubuntu, je me trompe peut être mais le .bashrc est éditable par l'utilisateur. On peut quelques fois faire des cron ou at ; ).

Enfin, je me repete peut être mais tous les scripts Js du répertoire .firefox sont executé aussi dans une session normale.

Un programme qui se lance en user ou admin quel importance.
Les virus qui lancent des spam se moque bien d'etre admin ce qu'il veule, c'est lancer des mails. C'est pas reservé à l'admin çà ?

Enfin en étant utilisateur, tu peux ouvrir une backdoor pour corrompre un réseau en permettant à un opérateur humain d'executer des commandes qui lui permettront de trouver des failles pour prendre la main sur ta machine.

>Tu parles de l'obfuscation ? pour les scripts faut un humain embarqué alors ...

Tu sais de quoi, tu parles. Tu doutes que c'est réalisable par une machine ?

Une bonne combinaison de fonction de remplacement peut très bien faire l'affaire.

Accessoirement, tu crois que la gars de chez google code comme çà regarde le code source de cette page. Particulierement , le javascript ; )
http://www.google.com/webhp?complete=1&hl=en

Enfin, tu as des programme comme JProguard qui te font sur code Java.
http://proguard.sourceforge.net/

J'en avais trouvé une fois pour du javascript

>Par contre, je suis d'avis qu'une machine unix/linux infectée est bien >plus dur à desinfecter qu'une machine windows.
>m'intéresse, peux-tu développer ? (j'ai ma petite idée, et je vois >quelque discussion possible :) )

En fait sous Windows, il y a des programmes qui permettent d'établir la liste des programmes qui vont s'executer au démarrage:
- Hijackthis
- Autoruns http://www.microsoft.com/technet/sysinternals/Security/Autor(...)

Dans mon taff, je vire essentiellement les virus et les spywares avec cette méthode et bien souvent avant les anti-virus.

Il est difficile de corrompre le code d'un executable binaire.
A contrario de la facilité, il est très simple de corrompre le code d'un script.
Afin d'éviter la reconnaissance par des antivirus, le code d'un script est plus simple à brouiller que la signature d'un binaire.

Par exemple dans le ca de Firefox , un script corrompu peut difficilement être identifié lorsqu'il execute dans un machine virtuel car l'afficheur de processus n'affiches pas le programme s'executant à ton insu.

>Dire qu'une machine windows et plus facileà deverminer est un >raccourcis un peu rapide selon moi !
>Par exemple, sous windows, un virus type cheval de troie peut tres >bien se metre dans n'importe quel fichier systeme ou utilisateur pour
>se lancer automatiquement.

En fait, il est assez difficile et très technique pour un programme binaire de s'inserer dans un autre programme binaire.
Par exemple, c'est un avantage de Linux avec son incompatibilité chronique des binaires entre les distributions.

Par contre, il est très simple d'injecter un script dans un autre script.

Ce qui fait que sous Linux, un virus n'aurait que l'embaras du choix pour trouver un petit coin qui garantira que même après un reboot.Qu'il saura toujours lancer.

En plus vu qu'il n'est pas executer par le système mais par la machine virtuel executant le script. Un ps ne montra rien.

Autre avantage des scripts est que tu peux très facilement les brouillers à la différence d'un binaire, ou il faudrait presque que le virus se ballade avec son gcc embarqué :)

>Tu es peut être énervé suite à une détournement de serveur ???

Non, non, même pas. Je voulais juste confronter une reflexion que je me faisais depuis un bout de temps.

Et cette reflexion était parti de la base de savoir si mon code de Firefox était corrompu quand j'ai découvert qu'il y avait plein de .js.

Le seul truc est que personne semble s'en préoccuper car j'ai l'impression qu'il y a une sorte blocage à parler de Malware et virus sous Linux.

Je pense qu'il y a des solutions à ce type de problème mais qu'il implique des changes tellement important dans l'ensemble de l'architecture Linux / X Windows que je doute qu'il arrive tout de suite.

Par exemple, j'ai vue une demo de Vista. Lorsqu'un programme demande à augmenter ces droits, l'écran se grise et une fenêtre modal demande une confirmation manuel de l'utilisateur en plus du "executer en tant que" qui existe depuis Windows 2000.
En fait, on peut aussi rétrograder les droits d'une application avant de la lancer.

J'y ferais pas trop confiance mais c'est interessant comme concept. A une epoque qd je faisais beaucoup de compilation de programme. A chaque fois que je testais un programme , je le compilais et l'executait dans un compte utilisateur crée spécialement pour.

Simple curiosité, vous le faites tous ?

>Un virus modifie le code d'un programme pour s'y reproduire. Comme >sous UNIX, les logiciels appartiennet à root, le virus exécuté par >l'utilisateur ne peux pas modifier les programme existant.

En général, le .bashrc de ton home est executé à chaque fois que tu connecte et pourtant il est modifiable avec les droits utilisateurs.

>Pour les vers, c'est soit une faille d'un logiciel (genre bind), soit >l'utilisateur qui s'est fait pêché par un appât (type V!agr4 et 03m).

Tu t'es jamais demandé ce que faisait le code de la dernière application que tu viens télécharger sous la forme de source et lorsque tu fais
$./configure
$make
$make install

çà faisait longtemps que je suivais plus les news Java.

Je venais juste finir le portage pour la 1.5 et supprimer toutes les variable "enum" qu'un de mes collegues avec disciminer dans le code :-).

Allez, je m'en vais relancer Eclipse.

Bonjour,
Je cherche actuellement un système simple pour numériser des documents directement d'une application Web pour un GED tel que Afresco.

On clique sur un bouton, l'interface TWAIN ou SANE se lance et on peut récuperer une liste d'image correspondant au pages d'un dossier. Et là, tout est importer directement dans le GED.

J'avais trouvé une solution basé sur le framework de Gnome.sk qui permet de créer des applets permettant de numériser sous Linux, Windows, Mac OS X mais vu que c'est pas libre, çà ne me sert pas à grand choses.
Je cherche actuellement un outil en ligne de commande sous Windows, Linux, et Mac OS X qui permet d'acquérir plusieurs image d'un coup provenant d'un numériseur.

Savez vous si Alfresco repond à ce type de problèmatique ?

J'y ai pensé aussi.

J'ai commencé hier à jouer à Glest. Je trouve que c'est génial. Dommage, qu'il manque un bon scénar à la Wesnoth.

En fait, ce n'est pas le scénar qui est bon car il est d'un grand classique.

Mais ce sont les personnages qui ont un certain charisme
- Un jeunne qui passe de l'anti-hero au preux chevalier...
- Un magos qui joue le rôle de menteur et de sage.
- L'elfe companion qui n'est pas s'en rappeler un autre elfe d'un autre grand classique de la fantasy.

Même les PNJ sont bon: les voleurs , les lyches et autre sorcier maléfique, les nains.

Sans compter les autres personnages principales. Sans compter qui je pense est une grande innovation du libre.
Certaine unité classique du fait de leur expérience et de leur puissances prenne des petits roles de figurantes dans l'histoire à l'occasion de quelques scenes ce qui leur donne encore plus valeur.

Entierement d'accord, çà va faire plusieurs jours que je passe mon temps de jeu sur un jeu libre "The Battle for Wesnoth".

- Le scénario vaut bien un scénario de jeux commercial.
- Le gameplay est simpa si on aime les jeux stratégies au tour par tour.

Perso, le jeux que joue le plus à côté hormis Guild Wars, c'est encore Warcraft 3 et uniquement dans les mods qui on était développé pour ce jeu.

Voir un jeu comme Glest, c'est l'espoir de voir un jour des mods à la Warcraft 3 qui sont super fun à jouer en LAN ou sur le Net basé uniquement sur du libre.

En bref, voir une vrai plateforme de développement de jeu simple et plaisant à jouer.

Perso, je pense qu'il devrait réecrire leur application en Java ;-).

çà évite une quantité de faille critique sans trop d'effort.

Le sujet pub a toujours été tabou ici.

Personnelement, je propose qu'au même titre que d'autre
fonctionnalités les utilisateurs de LFR décide ou non d'afficher de la pub.

Un module, lz pub vous la voulez comment ?
- Style d'adword.
- Style splashscreen
- Style popup.

Tu as raison. C'est bien LGPL la license d'OpenOffice.

Enfin, çà ne change rien au problème.

Tu ne peux pas linker un programme LGPL avec un programme GPL ! Sauf, si tu detiens le copyright sur le programme en GPL dans ce cas, tu diffuse une partie du code sous license LGPL pour permettre aux utilisateurs de greffer des modules sous une autre license.

En visualisant, le texte sur le telechargement de "logiciel gratuit" :-| .
On peut voir apparaitre une fenetre classique d'acceptation de licence:

Contrat relatif à l'utilisation du service:
Nous pouvons modifier ce contrat à to...
moment. Vous devez consulter ce cont...
régulièrement. Vous trouverez la toute...
dernière version du présent contrat su...
Le contrat modifié prend effet imédia....
Si vous n'acceptez pas les changemen..
apportés au contract, vous devez cesse
d'ultiliser le Service, cette utilisation se
...

Le gouvernement belge prépare un pays de mouton.
"Achetez", "Consommer", "bosser", "dormer"

Pour le cas de Java, c'est assez marrant et même extrement complexe.

En fait, les drivers JDBC JConnecteur 2.0.x sont sous license LGPL. Tu peux quasiment les utiliser comme tu veux.
Ces drivers fonctionnent encore avec MySql 4.0 pour les nouvelles, j'ai jamais testé

Par contre les drivers JDBC JConnecteur 3.0.x, ils sont en GPL et il sont bien meilleur, supporte JTA et tout un tas d'autres trucs de J2EE.

Et c'est là que çà devient problematique même pour un développeur de logiciel libre et un utilisateur de logiciel libre.

La GPL n'est pas compatible avec toutes les licenses de logiciels libres.

Par exemple, Open Office 2.0 recommande d'utiliser JConnector 2.0.x dans sa documentation pour Open Base même si les JConnector 3.0.x fonctionne parfaitement. Mais vu que la GPL n'est pas compatible avec la licence d'Open Office, il ne peuve pas recommandé officielement d'utiliser des drivers en GPL :p.

Si tu veux les drivers JDBC pour un DataSource de Tomcat en théorie , tu n'as pas le droit car la license Apache n'est pas compatible avec la GPL.
Par exemple, si le développeur a développé une appli web avec Hibernate (middleware gérant la persistance dans une base de données) et une base Oracle.

Et que toi, tu récupères son appli que tu la fasses fonctionner avec un MySql et les drivers JConnector 3.0.x. Tu seras dans l'ilégalité :o).