Version imprimable du sujet

Ecrit par: Zorlakk vendredi 29 avril 2005 à 07:42

Hello,

Je post pas souvent ici, mais j'aime bien lire quelques trucs. D'ailleurs, une question que je me demande depuis quelques temps. Quel est le suivi de sécurité au niveau des Mods ?

Naturellement, je parle plus des Mods majeures comme Links System, Download System, les différents portails (BPortal, Portal et co.).

N'ayant pas toujours le temps de me plonger dans le code et parfois ne trouvant pas toujours les trucs "à risques" dans les Mods.

Il serait intéressant, d'offrir un suivi des Mods soit par vous mêmes (l'équipe et membre). D'évaluer et de contacter le créateur pour lui demande : Euh, hello... hmmm, est-ce que tu fais un suivi des possibles trous de sécu dans tes trucs ?

Voilà...

Ecrit par: Melkendar vendredi 29 avril 2005 à 09:06

Le problème est que la plupart (je dis bien la plupart) des auteurs de mods étrangers ne nous écoutent pas et ne nous prennent pas en compte.

J'ai déjà corrigé quelques bugs dans plusieurs mods les ait fourni en MP ou sur le forum d'Invisionize mais ils n'ont jamais été enlevé... Les versions que nous proposons ici sont cependant débuggués.

J'avais contacté un des Managements d'Invisionize pour tenter de créer des liens plus soudés entre les différentes communautés étrangères...

Jamais reçu de réponse

Ecrit par: Youp3 vendredi 29 avril 2005 à 10:12

En ce qui concerne la sécurité du code, autant dire que nous ne faisons pas trop de vérification sur ce point.
Par contre la sécurité liée aux droits qu'ont les membres de faire telle ou telle action proposée par une mod, oui nous testons çà et nous essayons de les corriger autant que possible, avec les limitations qu'indique Melkendar vis à vis des auteurs de ces mods.

Ecrit par: LLaumgui vendredi 29 avril 2005 à 12:14

Pour info, mais mod sont tous développé en register_global = Off et en typant mes variables prise à partir de super variables... Donc déjà tu limite les risques...

Ecrit par: Zorlakk vendredi 29 avril 2005 à 19:12

hmmm, intéressant. Reste que c'est dommage qu'Invisionize ne veulent pas faire un "partenariat" avec IPBR-FR.

Au niveau sécurité, je suis toujours spectique sur certaines Mods. Disons que les auteurs n'en parlent pas beaucoup, voir jamais.

D'ailleurs, je remarque qu'Invisionize ne font absolument aucuns contrôles de qualités des Mods, ne parle pratiquement jamais des mises à jour de sécu sur leurs forums... hmmm,...

à suivre...

Ecrit par: LLaumgui vendredi 29 avril 2005 à 19:18

Quantié vs Qualité --> http://ipb2.ipbr-fr.com/index.php?showtopic=561&view=findpost&p=2793

Ecrit par: Zorlakk vendredi 29 avril 2005 à 19:19

J'ai récupéré quelques trucs chez Invisionize et 1 ici, j'aime bien... très clean.

Ecrit par: Zorlakk vendredi 29 avril 2005 à 19:21

Oui, j'ai lu... et j'ai toujours trouvé le système de feedback plus qu'instructif et professionnel qu'Invisionize. Ici, quand la Mod sort c'est que la Mod a passé le test.

Ecrit par: Fantome vendredi 29 avril 2005 à 19:26

Le problème c'est que tout les programmateur ne sont pas des pro(moi le premier) et donc la sécurité...

Ecrit par: Zorlakk vendredi 29 avril 2005 à 19:30

Mais là est le problème en général des 95% des Mods. Si une Mod peut être néfaste, alors, ça peut mettre sur les genous un serveur et tous les sites Internet dessus...

Alors, oui... c'est jolie d'avoir des Mods ici ou bien chez Invisionize mais si les créateurs ne s'occuppent pas de sécuriser leurs Mods... alors, autant jamais mettre à jour IPB avec les majs de sécu vu que les Mods d'installées sont bourrés de trous de sécu.

Je généralise beaucoup, mais la situation peut être vraie.

Ecrit par: Fantome vendredi 29 avril 2005 à 19:43

Pour ma part j'ai commencer a m'y intérsser mais je pense que ça demande deja un bon niveau de programation et surtout de la volonté.
Donc si tu as des site ou trouver des information pour de débutant je suis biensur preneur.

Ecrit par: Zorlakk vendredi 29 avril 2005 à 19:55

Oui, je viens de me lancer depuis quelques temps dans la vérification au niveau de la sécu. Étant principalement infographe/graphiste/intégrateur Web ... et dernièrement, terminer mes cours de prog (webmestre)... mais au niveau sécurité, hmmmm, ont a pas vu grand chose malheureusement et de très constructif là dessus (disons que j'ai du passé un peu rapidement là dessus pendant mes cours. ) Mais bon,... je me documente de plus en plus là dessus.

Reste que faire de la correction et de la vérification au niveau de la sécu n'est pas si facile que ça. C'est là que je bloque sur les méthodes... sans oublier lorsqu'on trouve un bug et que la solution n'est pas disponible entre nos oreilles...

Ecrit par: Fabien samedi 30 avril 2005 à 09:55

Effectivement, ça serait intéressant d'avoir une sorte de Guid pour éviter les failles de sécurité comme "développer en register_global = Off".

Si vous avez d'autres astuces, postez-les ici

Ecrit par: LLaumgui samedi 30 avril 2005 à 10:45

En ce moment, je travail sur la sécurisation d'un site... Si tu veux, je peux te faire un post explicatif des gros truc à pas faire...

http://www.llaumgui.com/index.php/2005/04/19/31-boutique-en-ligne-autopsie-dune-faille-de-securite --> Site pro développé par des pro que je tente de sécurisé depuis 2 mois... Mais le passif est tèlement lourd que plus je bouche les failles plus j'en découvre...

Ecrit par: Fabien samedi 30 avril 2005 à 11:34

Je veux bien

J'ai lu ce billet y'a un moment déjà. Très intéressant

Ecrit par: Fantome samedi 30 avril 2005 à 13:48

Interessant le billet.

Ecrit par: Fantome samedi 30 avril 2005 à 20:37

Voila un petit article qui permet de poser certaine base, je pense que ça peut vous intéresser. http://thierrylhomme.developpez.com/php/php_secure/

Ecrit par: Zorlakk dimanche 01 mai 2005 à 06:58

Intéressant... hmmm, très intéressant. Le lien + le billet... belle trouvaille/déduction le truc de l'extension Web Developer avec les forms hidden.

intéressant...

Ecrit par: prolag dimanche 01 mai 2005 à 14:02

Je pense qu'il y a mod et mod
Car c'est une p'tite modif de 3 fois rien il ya pas de grande chance de trou de secu
Mais c'est vrai que pour les trucs comme les gestionnaires de telechargements, de lien, qui font pas mal de ligne de code c'est deja beaucoup plus limite

Pour mes mods je fait assez attention surtout au niveau des permissions (une interface d'admin accessible facilement par un utilisateur normal..)

Ecrit par: LLaumgui dimanche 01 mai 2005 à 22:38

Bon, je me suis lancé dans l'écriture d'un billet pour exprimer http://www.llaumgui.com/index.php/2005/05/01/32-bien-debuter-le-developpement-dune-application-web-niveau-securite... C'est vraiement les bases, je parles pas de toutes les failles incluses par une mauvaise utilisation des librairie GD ou autres...

Prochaine étapes un billet sur les injonctions SQL...

Ecrit par: Fantome jeudi 05 mai 2005 à 10:46

Merci pour c'est principe de base.