OVH Cloud OVH Cloud

Microsoft offre un demi-million de dollars pour la tete de l'auteur de MSBlast

406 réponses
Avatar
Guillermito
Comme au temps du far-west:

En anglais:
http://www.theregister.co.uk/content/55/33792.html

En français:
http://www.zdnet.fr/actualites/technologie/0,39020809,39128871,00.htm

Pathétique. Ils devraient utiliser cet argent pour embaucher des
programmeurs qui savent éviter les buffer overflow.

--
Guillermito
http://www.guillermito2.net

10 réponses

Avatar
AMcD
Jean-Francois Billaud wrote:
scripsit AMcD :

http://www.linux.org.uk/diary/


C'est sans doute de l'humour ?


Non, c'est du gallois.


Oui, c'est écrit quand on clique sur le premier lien à droite. Mais le
rapport ? Quel intérêt de donner un lien "illisible" ?


http://www.google.fr/search?hl=fr&ie=UTF-8&oe=UTF-8&q=%22Alan+Cox%22&btnG=Recherche+Google&meta > (environ 520000 réponses, contre 6180 pour Steve Balmer)


Je ne vois toujours pas le rapport. Steve Balmer n'est pas codeur à ce que
je sache Qui plus est je doute que toutes les références aient un rapport
avec le même Cox...

C'est quoi le but de ton petit jeu ?

--
AMcD

http://arnold.mcdonald.free.fr/



Avatar
Olivier Aichelbaum
Frederic Bonroy wrote:
Combien de temps avant publication ici ils ont été prévenus ?
(pour pouvoir corriger avant qu'une personne mal intentionnée
n'exploite cela)


Je ne suis pas trop calé pour ce genre de choses, mais je ne vois pas
comment une personne pourrait exploiter les deux exemples qu'il
a donnés, puisque ça se passe sur le client et pas sur le serveur.


C'est le principe des failles CSS, et c'est exploitable.


PS Ce post a été refusé sur fcs...


Lequel? Le tien ou celui de Nicob? (Je ne suis pas fcs...)


Le mien.

Parler du délai avant de publier une faille de sécurité serait
donc hors charte sur fr.comp.securite ?

--
Olivier Aichelbaum


Avatar
Fred Serves
lomba wrote:

AMcD wrote:


Ha, et tes solutions ? Tu programmes un peu ?


Oups, t'es tombé sur la mauvaise personne là... Quand je vois la qualité du
filtre email codé par LWA chez mon hébergeur, il est clairement bon :)


On a vu l'extrait de code de cette personne.
Il est clairement mauvais.


Avatar
Frederic Bonroy
Fred Serves a écrit:

On a vu l'extrait de code de cette personne.


C'est qui, "on"? Et où l'a-t-"on" vu?

Avatar
Misterjack
Salut !

Fred Serves a écrit:
On a vu l'extrait de code de cette personne.


C'est qui, "on"? Et où l'a-t-"on" vu?


Dans un message précédent :
news://news.free.fr:119/3facf0c5$0$2778$

Amicalement,
--
Mister Jack (MJ)
Pour me répondre souriez et cliquez sur "Répondre".


Avatar
AMcD
Yo !

Frederic Bonroy wrote:

C'est qui, "on"? Et où l'a-t-"on" vu?


Ben sois à la discussion, lis-moi un peu plus haut...

--
AMcD

http://arnold.mcdonald.free.fr/

Avatar
Laurent Wacrenier
Misterjack écrit:
Ce n'est pas AMcD qui parlait comme ça, mais moi. Je répète ce que j'ai
écris plus tôt :


Si vous aviez des noms ordinaires, ça serait plus facile de se
rappeler qui dit quoi.

"Quand je parlais de quelques milliers de lignes, c'est une échelle
large de 5.000 à 30.000 lignes, quand même. (hors commentaires, et en
langage évolué)"

Et je parlais de code de qualité industrielle, puisque je répondais à
une remarque sur la qualité du code de Windows(r). Je voulais dire qu'un
code reconnu fiable et maintenable prend beaucoup de temps. Je me
re-cite : "Je parle de faire reconaître un logiciel comme fiable et
maintenable."


MS-Windows, qualité "industrielle" ?

Un logiciel est fiable et maintenable quand il fait ce qu'on lui
demande et qu'il est maintenu. Ce sont des qualités qui s'aquierent
avec l'usage et non pas avec le temps passé à sa préparation.

Il y a clairement de gens plus rapides et plus efficaces que vous.


On en revient toujours là : à quel prix ? Un code de qualité moyenne ?
On parlait exactement de ça. Il y a 2 choix : un code sûr mais long à
écrire et cher (logiciels industriels), ou un code correct écrit
rapidement mais sujet à failles (logiciels grand public).


Non, la qualité d'un programme ne dépend pas de son coût.

Les programmes que j'utilise, pour moi et pour mes serveurs, ont un
coût d'achat nul, ce n'est pas pour celà qu'ils sont de qualité nulle.


Avatar
Jean-Francois Billaud
scripsit AMcD :

http://www.linux.org.uk/diary/




Oui, c'est écrit quand on clique sur le premier lien à droite. Mais le
rapport ? Quel intérêt de donner un lien "illisible" ?


Suffit d'aller voir le répertoire au dessus http://www.linux.org.uk

http://www.google.fr/search?hl=fr&ie=UTF-8&oe=UTF-8&q=%22Alan+Cox%22&btnG=Recherche+Google&meta >>(environ 520000 réponses, contre 6180 pour Steve Balmer)


Je ne vois toujours pas le rapport. Steve Balmer n'est pas codeur à ce que
je sache


Y'a une justice, Google reconnaît les bons.

Qui plus est je doute que toutes les références aient un rapport
avec le même Cox...


Dans les 50 premières références de Google, hors langues étrangéres que je
ne comprends pas, ça ressemble bien au personnage.

C'est quoi le but de ton petit jeu ?


« Qui c'est le vieux type en blanc à côté d'Alan Cox ? »


JFB

--
echo "Tu crois que Linus utilise exclusivement ed ?" | tr -d
"Linux, bsd, kde, qt, vi, emacs"




Avatar
Laurent Wacrenier
AMcD écrit:
Vincent Bernat wrote:
OoO En cette matinée ensoleillée du jeudi 06 novembre 2003, vers
09:18, "AMcD" disait:

C'est amusant toutes les choses _débiles_ que l'on peut dire quand on
ne connaît pas les gens à qui on s'adresse. Prendre LWA pour un
neuneu, c'est une perle rare que je garde sous le coude.


Bis repetita. Je ne le connais pas. Je ne le prends pas pour un neuneu. Je
réagis vis-à-vis de ses propos. Point. On n'écrit pas des applis de 22k
lignes sans beaucoup de commentaires. C'est inmaintenable par toute autre
personne que celle qui l'a écrit (et encore, faut-il qu'il n'y revienne pas
un an après).


Désolé de te contredire, mais j'ai laissé mon code un an sans y
toucher puis l'ai modifié pour tenir compte de nouvelles librairies et
pour ajouter de nouvelles fonctionalités.

Visiblement tu as des problèmes pour écrire du code que tu peux relire
toi même et tu généralises ton problème.

Et à moins d'avoir une documentation et un cahier de charges
professionnels de plusieurs dizaines de pages (et encore !), on n'écrit pas
des applis professionnelles sans beaucoup de commentaires. C'est une
hérésie.


Dans un milieu de production, on ne passe pas des mois à se triturer
le cerveau en équipe avant de coder 1000 lignes. Ça c'est une hérésie.

Son côté péremptoire quand à l'écriture du code sûr est de la vantardise
pure et simple. Si une méthode existait, elle serait déjà connue et tout le
monde l'appliquerait. Je ne vois pas en quoi du code en GPL serait plus sûr
qu'un autre. Surtout qu'on ne sait généralement pas quelle sont les
processus de contrôle mis en place dans les entreprises.

Je viens de télécharger les sources de PLL Mail, projet dont je suppose que
le LWA dont nous parlons ici est le même que celui mentionné dans les admins
de projets sur sourceforge (si c'est pas lui, pas de chance, un gars portant
le même nom que lui écrit du code buggé). Voici un exemple tiré de wrap.c,
premier fichier du package pris au hasard, la fonction home_crypt() :

char *home_crypt(char *key, char *salt) {
if (home_param.crypt_always_crypted) {
return crypt(key, salt);
}
switch(home_crypted(salt)) {
case HOME_CRYPTED_CRYPT: {
static char scp[sizeof("{crypt}") + 13 + HOME_CRYPT_CRYPT_EXTRA_CHARS];
char *cp;
cp=crypt(key, salt+sizeof("{crypt}")-1);
strncpy(scp, salt, sizeof("{crypt}"));
scp[sizeof("{crypt}")-1]=0;
strncpy(scp+sizeof("{crypt}")-1, cp, sizeof(scp)-sizeof("{crypt}"));
scp[sizeof(scp)-1]=0;
return scp;
}
case HOME_CRYPTED_PLAIN:
if (salt=NULL) {
return NULL;
}
return key;
}
return NULL;

Vite fait, en deux minutes :


Vous avez oublié de recopier les indentations.

Variables non initialisées,


ha ?

indentation inexistante,


Après que vous les ayez effacées, c'est normal.

noms de variables absolument pas explicite,


La longueur du nom d'une variable est proportionnelle à sa portée.

non codage de
chaînes répétitives (genre "crypt") en constantes,


C'est déjà des constantes (c'est comme ça que ça s'appelle en C). Vous
pensez obscurcir le code en ajoutant des macros pour un usage limité ?

utilisation très étrange
(et non optimisée) de l'append de l'octet NULL avec strncpy() (pourquoi
copier x si le xeme est mis à NULL ensuite ?)


L'octet NUL (et non pas NULL). Vous ne savez manistestement pas
utiliser strncpy(), ce qui entraine votre étrange remarque. Quand à
l'optimisation en n'affectant pas un octet, c'est ridicule : l'appel à
crypt() plus haut fait du DES. Modifier une bonne habitude de
programmation pour un gain relativement nul montre votre niveau
scolaire.

et, à moins d'un effet de
style très hors de portée d'un débutant (genre je sors de l'école) qui
aurait à maintenir ce code, erreur à if (salt=NULL). Erreur facilement
évitable en affectant les variables à l'envers,


En quoi ?

Il y a certe une erreur, mais, si vous aviez lu le programme, ce
morceau est sans incidence, même si, comme ce n'est jamais le cas
sémantiquement ou opérationnellement, salt pouvait NULL. Le fonction
est d'ailleurs sensée planter dans ce cas, ce qu'elle fait plus haut.

comme tout bon pogrammeur a
appris à le faire pendant ses études. Stoppons là.

Ce code est illisible et inmaintenable par quiconque que lui. Ce code ne
passerait pas les portes d'un chef de projet de la première entreprise
sérieuse venue. GPL ou pas.


Guignol, va.

Mes anciens profs de fac m'aurait d'ailleurs mis
carrément 5 ou 6 sur 20 sur ce genre de bouillie.

Moi aussi je sais de quoi je parle, ça doit bien faire 21 ou 22 ans que je
code, et c'est moi qu'il faudrait pas prendre pour un neuneu en débitant des
âneries !


Mais oui, tu as appris le C à l'école il y a plus de 20 ans et tu te
rappelles encore de tes notes et de ton prof. Tu as fais l'école du
rire ?


Avatar
Laurent Wacrenier
AMcD écrit:
Or, quel est le problème ? Tu viens nous bassiner avec ton code sûr, faire
du sarcasme vis-à-vis de concepts qui plombent l'écriture de code sûr, etc.
Je vais te dire, je n'apprécie pas ce genre d'arrogance hautaine.


Tu préfères tes commentaires faux et malhonetes, c'est vu.