lire et écrire en HTML

docanski a écrit...

Alors que les eleveurs et agriculteurs empoisonnent toujours la
Bretagne, Luc ecrit ce qui suit en ce 15/11/2010 01:35 :

Les mêmes
qui s'échinent à inonder le réseau de milliards de spams ne se
priveraient pas d'une telle haubaine.

C'est déjà arrivé.
Ah ? tu ne le savais pas ?

Puisque tu sais, donne un lien.

Relis plus haut.

C'est fait.

Alors, c'est un problème de compréhension ...

Tentative de disqualification.

Nouvelle attaque ad hominem !

Sors de ce corps, Calimero !

Attaque ad hominem

Dois-je conclure que toi aussi tu n'as aucune preuve mais que tu colportes
simplement une légende urbaine ?

--
Cordialement,

Luc Burnouf
http://www.faqoe.com/

Alors que les eleveurs et agriculteurs empoisonnent toujours la
Bretagne, docanski ecrit ce qui suit en ce 14/11/2010 23:25 :

Et alors ? Ça n'a strictement rien à voir avec une quelconque infection
silencieuse.

Pour compléter ma réponse précédente, puisque tu demandes des liens ...
que tu aurais pu trouver tout seul si tu n'étais aussi sûr de toi :

Un petit extrait d'origine Wikipedia pour t'aider à comprendre :
"JavaScript est un des composants essentiels de la technique AJAX
(Asynchronous Javascript And XML). La plupart des applications AJAX
utilisent l'objet XMLHTTPRequest (XHR) pour envoyer une requête à un
script serveur, et parser dynamiquement les résultats de ce dernier via
DOM. Internet Explorer est le premier à proposer ce composant, sous
forme d'un ActiveX, et ce dès la fin des années 90. Ce n'est qu'en 2002
que les développeurs commencent massivement à l'utiliser. Les versions
d'Internet Explorer antérieures à la 7 ne géraient pas l'objet XHR tel
que décrit dans les standards du W3C mais proposaient un contrôle
ActiveX équivalent (à partir de la version 5), ce qui impose des
fourches dans le code, tel que montré ci-dessus.
JSON (JavaScript Object Notation) est un format utilisant la notation
des objets JavaScript pour transmettre de l'information structurée,
d'une façon plus compacte et plus proche des langages de programmation,
que XML.
Malgré l'existence du DOM et l'introduction récente de E4X (voir
ci-dessous) dans la spécification du langage JavaScript, JSON reste le
moyen le plus simple d'accéder à des données, puisque chaque flux JSON
n'est rien d'autre qu'un objet JavaScript sérialisé. De plus, malgré son
lien historique (et technique) avec JavaScript, JSON reste un format de
données structurées, et peut être utilisé facilement par tous les
langages de programmation.
Depuis 2009, les navigateurs commencent à intégrer un support natif du
format JSON, ce qui facilite sa manipulation, la sécurité (contre
l'évaluation de scripts malveillants inclus dans une chaine JSON), et la
rapidité de traitement. Ainsi les navigateurs Firefox et IE6 l'intègrent
dès la version 3.5, respectivement 8."

2 exemples de faille parmi d'autres, dont pouvait profiter un script
malveillant :
"Ce correctif colmate une faille de sécurité qui peut permettre à une
personne malveillante de compromettre un ordinateur exécutant Internet
Explorer et d'en prendre le contrôle"
Source :
http://www.click-droit.net/wordpress/archives/tag/mise-a-jour-windows-7
"Microsoft met en garde contre une nouvelle faille majeure d'une portée
inédite, affectant cette fois toutes les versions de Windows.
Elle permettrait de prendre le contrôle du PC à la *simple lecture* d'un
email, ou en visitant un site web malicieux. Cette faille n'a rien à
voir avec celle affectant le serveur web IIS annonçée il y a tout juste
quarante-huit heures.
Source :
http://www.presence-pc.com/forum/ppc/Logiciels/topic-unique-failles-windows-sujet-1233-1.htm

Si cela ne te suffit pas pour admettre qu'une page HTML peut provoquer
des effets nocifs sur une machine si EcmaScript ou JavaScript ne sont
pas désactivés, je ne peux plus rien pour toi ...

Cordialement,

--
docanski

Portail et annuaire du nord-Bretagne : http://armorance.free.fr/
Guide des champignons d'Europe : http://mycorance.free.fr/
La vallée de la Rance maritime : http://valderance.free.fr/
Les côtes du nord de la Bretagne : http://docarmor.free.fr/

On 2010-11-15, Hugues wrote:

Mais pour répondre on se plaint de temps en temps de ma manière de
répondre. Je crois avoir compris que les gens sont tellement habitués
aux couleurs, gras et italique, que du simple texte avec un chevron
devant chaque ligne n'est pas clair. Je ne le comprends pas, mais je
prends acte.

Ces gens sont tout simplement infoutus de *configurer* correctement leur
client..

C'est normal Hugues : personne ne leur a appris.

[...]

--
Vivien MOREAU

docanski a écrit...

Alors que les eleveurs et agriculteurs empoisonnent toujours la
Bretagne, docanski ecrit ce qui suit en ce 14/11/2010 23:25 :

Et alors ? Ça n'a strictement rien à voir avec une quelconque
infection silencieuse.

Pour compléter ma réponse précédente, puisque tu demandes des liens
... que tu aurais pu trouver tout seul si tu n'étais aussi sûr de toi
:
Un petit extrait d'origine Wikipedia pour t'aider à comprendre :

Le coup de Wikipedia avec une pointe de disqualification, c'est très
original ! :-)

"JavaScript est un des composants essentiels de la technique AJAX
(Asynchronous Javascript And XML). La plupart des applications AJAX
utilisent l'objet XMLHTTPRequest (XHR) pour envoyer une requête à un
script serveur, et parser dynamiquement les résultats de ce dernier
via DOM. Internet Explorer est le premier à proposer ce composant,
sous forme d'un ActiveX, et ce dès la fin des années 90. Ce n'est
qu'en 2002 que les développeurs commencent massivement à l'utiliser.
Les versions d'Internet Explorer antérieures à la 7 ne géraient pas
l'objet XHR tel que décrit dans les standards du W3C mais proposaient
un contrôle ActiveX équivalent (à partir de la version 5), ce qui
impose des fourches dans le code, tel que montré ci-dessus.
JSON (JavaScript Object Notation) est un format utilisant la notation
des objets JavaScript pour transmettre de l'information structurée,
d'une façon plus compacte et plus proche des langages de
programmation, que XML.
Malgré l'existence du DOM et l'introduction récente de E4X (voir
ci-dessous) dans la spécification du langage JavaScript, JSON reste le
moyen le plus simple d'accéder à des données, puisque chaque flux JSON
n'est rien d'autre qu'un objet JavaScript sérialisé. De plus, malgré
son lien historique (et technique) avec JavaScript, JSON reste un
format de données structurées, et peut être utilisé facilement par
tous les langages de programmation.
Depuis 2009, les navigateurs commencent à intégrer un support natif du
format JSON, ce qui facilite sa manipulation, la sécurité (contre
l'évaluation de scripts malveillants inclus dans une chaine JSON), et
la rapidité de traitement. Ainsi les navigateurs Firefox et IE6
l'intègrent dès la version 3.5, respectivement 8."

2 exemples de faille parmi d'autres, dont pouvait profiter un script
malveillant :
"Ce correctif colmate une faille de sécurité qui peut permettre à une
personne malveillante de compromettre un ordinateur exécutant Internet
Explorer et d'en prendre le contrôle"
Source :
http://www.click-droit.net/wordpress/archives/tag/mise-a-jour-windows-7
"Microsoft met en garde contre une nouvelle faille majeure d'une
portée inédite, affectant cette fois toutes les versions de Windows.
Elle permettrait de prendre le contrôle du PC à la *simple lecture*
d'un email, ou en visitant un site web malicieux. Cette faille n'a
rien à voir avec celle affectant le serveur web IIS annonçée il y a
tout juste quarante-huit heures.
Source :
http://www.presence-pc.com/forum/ppc/Logiciels/topic-unique-failles-windows-sujet-1233-1.htm

Si cela ne te suffit pas pour admettre qu'une page HTML peut provoquer
des effets nocifs sur une machine si EcmaScript ou JavaScript ne sont
pas désactivés,

Il n'y a rien de ce que je te demande, c'est pourtant simple : un lien
infectant silencieusement un PC à jour via un navigateur à jour également
paramétré par défaut.

je ne peux plus rien pour toi ...

Je le crains depuis le début.

--
Cordialement,

Luc Burnouf
http://www.faqoe.com/

Bonjour,

J'ai lu tout ce fil qui a dégénéré en troll (pas de ta faute à mon
avis, quoi qu'en pense Patrick Texier). En particulier, je crois que
les nombreux échanges entre docanski et Luc auraient pu être réduits
s'ils avaient commencé par s'entendre sur ce dont ils parlaient
exactement (navigateur ou courrielleur, comment les logiciels sont
configurés par défaut, etc.).

Parmis tout ce fatras, tu as posé une question qui n'a pas reçu de
réponse satisfaisante et je pense modestement pouvoir l'apporter.

Le 14/11/2010 21:48, siger a écrit :

> les images ne sont pas les seuls éléments possiblement lisible
> par ton courrieleur en HTML, les feuilles de styles (suivant
> ton logiciel) servent aussi de Web Bug

Ce qui m'étonne est que les feuilles de style sont courantes
aujourd'hui. Il y a des failles et personne ne s'en occupe ?

[...] En quoi ouvrir une CSS avec un navigateur est normal
alors que c'est un risque avec un courrielleur ?

Commençons par le cas d'un navigateur web. Une page HTML que tu charges
peut très bien faire appel à des ressources externes qui feront autant
de requêtes HTTP supplémentaires : des images, des scripts JavaScript,
des feuilles de style CSS, etc. Avec JavaScript (et Ajax construit sur
XmlHttpRequest) elle peut même faire des requêtes conditionnelles, etc.
Tout ceci est le fonctionnement normal du navigateur web : tu as fait
une requête volontaire, laquelle en fait éventuellement d'autres qui
lui sont subordonnées. Le serveur qui répond à ces requêtes connaît
l'adresse IP du client, éventuellement le nom du navigateur et la
page précédente cliquée, mais guère plus concernant l'utilisateur,
en particulier il ne peut pas connaître ton adresse de courriel.

Voyons maintenant le cas d'un courriel que tu reçois à l'adresse
siger@example.com. Le spammeur qui t'a envoyé ce message a commencé
par t'attribuer un identifiant, mettons Y9h6tg0F, grâce auquel il
peut retrouver ton adresse siger@example.com. La page HTML qu'il
t'envoie peut tenter d'inclure une image, dont l'URL sera par exemple
http://spammeur.example.com/image_Y9h6tg0F.png. Il peut aussi inclure
un script http://spammeur.example.com/script_Y9h6tg0F.js ou une
feuille de style http://spammeur.example.com/style_Y9h6tg0F.css.
Le simple fait que le courrielleur tente d'accéder à ces ressources
sur le serveur du spammeur lui apprend que l'adresse associée à
Y9h6tg0F, donc siger@example.com, *existe* et *est lue*, et par
conséquent elle vaut beaucoup plus cher à la revente dans les
fichiers d'adresses de courriel certifiées.

La parade consiste à ce que les courrielleurs ne fassent jamais aucun
accès externe lors de la réception d'un message. Cela n'interdit ni
les images, ni les feuilles de style, mais à condition qu'elles soient
incluses dans le message lui-même et pas externes. Quant aux scripts,
il y a toutes les raisons de les refuser aussi.

Pour en revenir à la discussion Luc/docanski, j'ai cru comprendre que
le point de vue de docanski était « le danger existe, il suffit que le
courrielleur soit mal configuré » alors que celui de Luc était « les
courrielleurs actuels sont bien configurés »... comme on voit, ils
peuvent très bien avoir raison tous les deux, mais je ne suis pas sûr
qu'ils aient compris chacun exactement ce que disait l'autre.

Cordialement,
--
Olivier Miakinen

Le 15/11/2010 01:35, Luc a écrit :

Jusqu'à preuve du contraire, tu colportes bel et bien une légende urbaine
(dix ans, c'est largement suffisant) sinon, il y a bien longtemps qu'on
m'aurait donné cette preuve que je sollicite en vain depuis des années et je
ne serais pas là, une fois de plus, à attendre vainement.

Pour cause de propagation d'un ver informatique, Microsoft bloque de
manière temporaire les liens dans Windows Live Messenger 2009 mais pas 2011.

--
JC E.

Le 15/11/2010 12:03 dans fr.comp.mail Luc nous expliquait:

L'idée n'est pas d'installer un code malicieux mais d'exploiter une
faille du navigateur/courrieleur.

Peut-être qu'aujourd'hui aucune faille n'est exploitable/exploitée
mais rien ne dit que demain tu ne vas pas recevoir un mail HTML
incluant un script qui exploitera une faille de ton logiciel.

_garantissant_garantissant_

aujourd'hui _et_ demain un niveau de sécurité satisfaisant.

Même pour surfer ? C'est gai chez toi !

Quand tu surfes, tu choisis où tu vas.
Quand tu reçois un mail, dans au moins 80% de cas, tu n'as rien demandé
à celui qui te l'a envoyé (je ne parle pas ici des spams, mais bien du
courrier classique).

Mais vraissemblablement tu n'arrives pas à faire la différence entre un
principe et un fait.

Il y a des centaines de personnes qui brulent des feux rouges toute leur
vie sans jamais avoir de problème, cela ne veut pas dire pour autant
qu'il est possible de le faire sans risque.
La prudence recommande donc de s'arreter au feu rouge.

Des pages avec du code malicieux s'installant silencieusement

Ta touche "Des pages avec du code malicieux s'installant
silencieusement" est coincée.

Pour la part, je me contrefout
--
@+
Doug - Linux user #307925 - Slackware64 roulaize ;-)
Usenet-fr ? Mais qu'est-ce que c'est ? Comment ça marche ?
Pour en savoir plus : http://usenet-fr.dougwise.org/

(supersedes)

Le 15/11/2010 12:03 dans fr.comp.mail Luc nous expliquait:

L'idée n'est pas d'installer un code malicieux mais d'exploiter une
faille du navigateur/courrieleur.

Peut-être qu'aujourd'hui aucune faille n'est exploitable/exploitée
mais rien ne dit que demain tu ne vas pas recevoir un mail HTML
incluant un script qui exploitera une faille de ton logiciel.

_garantissant_garantissant_

aujourd'hui _et_ demain un niveau de sécurité satisfaisant.

Même pour surfer ? C'est gai chez toi !

Quand tu surfes, tu choisis où tu vas.
Quand tu reçois un mail, dans au moins 80% de cas, tu n'as rien demandé
à celui qui te l'a envoyé (je ne parle pas ici des spams, mais bien du
courrier classique).

Mais vraissemblablement tu n'arrives pas à faire la différence entre un
principe et un fait.

Il y a des centaines de personnes qui brulent des feux rouges toute leur
vie sans jamais avoir de problème, cela ne veut pas dire pour autant
qu'il est possible de le faire sans risque.
La prudence recommande donc de s'arreter au feu rouge.

Des pages avec du code malicieux s'installant silencieusement

Ta touche "Des pages avec du code malicieux s'installant
silencieusement" est coincée.

Pour ma part je me contrefout que tu prennes un risque.

EOT
--
@+
Doug - Linux user #307925 - Slackware64 roulaize ;-)
Usenet-fr ? Mais qu'est-ce que c'est ? Comment ça marche ?
Pour en savoir plus : http://usenet-fr.dougwise.org/

Alors que les eleveurs et agriculteurs empoisonnent toujours la
Bretagne, Luc ecrit ce qui suit en ce 15/11/2010 13:06 :

je ne peux plus rien pour toi ...

Je le crains depuis le début.

Il ne reste donc plus que la piqûre .... :o)
--
docanski

Portail et annuaire du nord-Bretagne : http://armorance.free.fr/
Guide des champignons d'Europe : http://mycorance.free.fr/
La vallée de la Rance maritime : http://valderance.free.fr/
Les côtes du nord de la Bretagne : http://docarmor.free.fr/

Doug713705 a écrit...

(supersedes)

Le 15/11/2010 12:03 dans fr.comp.mail Luc nous expliquait:

L'idée n'est pas d'installer un code malicieux mais d'exploiter une
faille du navigateur/courrieleur.

Peut-être qu'aujourd'hui aucune faille n'est exploitable/exploitée
mais rien ne dit que demain tu ne vas pas recevoir un mail HTML
incluant un script qui exploitera une faille de ton logiciel.

_garantissant_garantissant_

aujourd'hui _et_ demain un niveau de sécurité satisfaisant.

Même pour surfer ? C'est gai chez toi !

Quand tu surfes, tu choisis où tu vas.

Ce n'est pas exact. Quand on cherche quelque chose, on *surfe* de page en
page et on ne sait pas toujours où on met les octets. En tout cas, moi, je
surfe n'importe où sans la moindre restriction, simplement, si je tombe sur
une page qui veut que j'installe un truc contre la promesse de photos de
Haris Pilton à poil, je refuse.

Quand tu reçois un mail, dans au moins 80% de cas, tu n'as rien
demandé à celui qui te l'a envoyé (je ne parle pas ici des spams,
mais bien du courrier classique).

Ce qui n'est pas plus dangereux qui de lire du HTML via une navigateur et
pour cause.

Mais vraissemblablement tu n'arrives pas à faire la différence entre
un principe et un fait.

Justement si ! Et je remarque que les "principes" ne résistent pas à
l'épreuve des faits. Donc c'est du flan.

Il y a des centaines de personnes qui brulent des feux rouges toute
leur vie sans jamais avoir de problème, cela ne veut pas dire pour
autant qu'il est possible de le faire sans risque.
La prudence recommande donc de s'arreter au feu rouge.

Ça, c'est une analogie qui ne peut se substituer à une preuve concernant la
légende urbaine que je mets en cause dans ce fil.

Si toi aussi tu as un lien-qui-tue, n'hésite surtout pas.

Des pages avec du code malicieux s'installant silencieusement

Ta touche "Des pages avec du code malicieux s'installant
silencieusement" est coincée.

Dois-je comprendre que toi aussi tu préfères sombrer dans le troll que de
répondre sérieusement et me donner un lien vers une page avec du code
malicieux s'installant silencieusement ?

Pour ma part je me contrefout que tu prennes un risque.

Je n'en doute pas une seconde mais le problème n'est pas là. Le problème
c'est que je remets en cause une légende urbaine assénée depuis si longtemps
sur Usenet et, évidemment, ça dérange parce que ça ne va pas dans le sens de
la pensée dominante.

EOT

Donc pas de lien infectant silencieusement !
Zut, encore raté !
Tant pis, je vais encore m'armer de patience.

--
Cordialement,

Luc Burnouf
http://www.faqoe.com/