Forum du club des d�veloppeurs et IT Pro - Blogs - Open source et architecture logicielle par autran

Utilitaires Java pour le Hardening : Sauvegarde de fichiers de configuration

autran — Sun, 10 May 2020 17:00:57 GMT

Je reprends un peu le cours de mon fil sur le hardening et l�audit de s�curit�.
Sur un hardening de serveur il sera n�cessaire de modifier certains fichiers de configuration du serveur cible (par exemple httpd.conf) pour rem�dier les vuln�rabilit�s d�tect�es
Mais nous devrons au pr�alable faire une sauvegarde des fichiers modifi�s.
J�ai donc cr�� une classe Fichier dont je me sers fr�quemment pour ce type d�op�ration.
Cette classe prend en param�tre (de son constructeur) le nom du fichier � sauvegarder et le recherche r�cursivement depuis le r�pertoire courant.
Elle poss�de une m�thode mCreateBackup pour faire la sauvegarde dans le m�me r�pertoire que le fichier en rajoutant sufixe .old

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
public class Fichier {
	private File pFile;
 
	public Fichier(String name) {
		File currentDirectory = new File(System.getProperty("user.dir"));
		String absoluteName = this.mFindByName(currentDirectory, name);
		pFile = new File(absoluteName);
	}
 
	private String mFindByName(File folder, String filename){
	    String path = null;
	    if(folder.isDirectory()){
	        List files = Arrays.asList(folder.listFiles());
	        Iterator fileIterator = files.iterator();
	        while(fileIterator.hasNext() &&  path==null){
	            path = mFindByName(fileIterator.next(), filename);
	        }
	    } 
	    else if (folder.getName().compareTo(filename) == 0) {
	            path = folder.getAbsolutePath();
	    }
	    return path;
	}
 
	public boolean mCreateBackUp() {
		boolean result = false;
		FileInputStream sourceFile=null;
        FileOutputStream destinationFile=null;
        String destinationName = pFile.getAbsolutePath().concat(".old");
        try {
                File destination = new File(destinationName);
 
                sourceFile = new java.io.FileInputStream(pFile);
                destinationFile = new java.io.FileOutputStream(destination);
 
                // Lecture par segment de 0.5Mo 
                byte buffer[]=new byte[512*1024];
                int nbLecture;
 
                while( (nbLecture = sourceFile.read(buffer)) != -1 ) {
                        destinationFile.write(buffer, 0, nbLecture);
                } 
 
                // Copie réussie
                result = true;
        } catch(FileNotFoundException f ) {
 
        } catch(IOException e ) {
 
        } finally {
                // Quoi qu'il arrive, on ferme les flux
                try {
                        sourceFile.close();
                } catch(Exception e) { }
                try {
                        destinationFile.close();
                } catch(Exception e) { }
        } 
        return result ;
 
	}
 
	public File getpFile() {
		return pFile;
	}
}

Je tenterai dans un prochain post de vous faire une d�monstration d�un audit de serveur, pour �tre plus concret.
D�ici l�, si vous �tes int�ress�, dites-moi si vous pr�f�rez plut�t que je fasses la d�mo d�un audit en bash (langage qu�affectionnent les devOps) ; Sinon je continu en Java.

Utilisation de java pour le Pentest

autran — Mon, 04 May 2020 16:48:02 GMT

Pour faire suite � ce billet, je vous montre aujourd�hui comment utiliser l�objet WebPage pour r�soudre un d�fi de CTF. Le D�fi consiste � g�n�rer un hash MD5 en un temps record (moins de 5 s)
Voici la page obtenue pour ce d�fi :

Inutile de dire que : [prendre la chaine en clair et en faire un hash � la main sur un site d�di� � copier/coller le hash dans la zone de texte de la page � et cliquer sur submit] nous prendra plus de 5 s.
Il faut donc automatiser ce processus. Pour cela, 6 actions doivent �tre r�alis�es :
1/ Extraire de la page HTML la chaine de caract�re
2/ Hasher cette chaine avec l�algorithme MD5
3/ cr�er un JSON de r�ponse
4/ Obtenir le/les cookies de session envoy� initialement par le serveur PHP afin qu�il sache que le hash calcul� correspond � celui du chalenge.
5/ Renvoyer le formulaire
6/ capturer le flag en retour (seconde r�ponse du serveur) pour marquer les points

Je ne vous offrirai ici que les 4 premi�res �tapes et dans la 4�me je ne vous donnerez que le cookie PHPSESSID envoy� par le serveur PHP pour s�curiser la session. N�anmoins pour r�aliser tout aussi facilement les parties 5 et 6, je pourrai dans un prochain billet ajouter un constructeur � la classe WebPage afin de renvoyer un formulaire (requ�te de type POST).
Pour le reste, il faudra me le demander si vous �tes int�ress� et je fournirai le � write-up � complet une fois que le chalenge sera � retired � du site HTB (�thique oblige).
Voici le r�sultat attendu pour notre petit d�fi (�tape 1 � 3) :

Code html :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
 
Début de CTF -- mini-chalenge --
Voici la page à traiter : 
<html>
<head>
<title>emdee five for lifetitle>
head>
<body style="background-color:powderblue;">
<h1 align='center'>MD5 encrypt this stringh1><h3 align='center'>9BpkJPYlOF69D4uN9Gjvh3><center><form action="" method="post">
<input type="text" name="hash" placeholder="MD5" align='center'>input>
br>
<input type="submit" value="Submit">input>
form>center>
body>
html>
----------------------------------------------------
La chaine en clair = 9BpkJPYlOF69D4uN9Gjv
Le hash = f58271057951dd0470593b0083176956
Les paramètres à passer dans la prochaine requête post = {" hash ":"f58271057951dd0470593b0083176956"}
le cookie envoyé par le serveur pour rester dans la session : [PHPSESSID=6c0etptg15a85n87uceo53r8b3; path=/]
Fin de CTF -- mini-chalenge --

Je vais d�tailler les �tapes 1 et 4 car elles illustrent l�int�r�t d�utiliser JAVA et cette classe dans les pentests en particulier et la s�curit� en g�n�ral

Etape 1 : Extraire la chaine de caract�re � hasher
La chaine se trouve ici dans la page :
9BpkJPYlOF69D4uN9Gjv

. Il faudra � l�aide des expressions r�guli�res prendre la chaine entre
et

Etape 4 : Capture du Cookie de session
Le cookie de session est dans la propri�t� header de ma classe. Ce header est une liste (Map) et la cl� (index) du cookie est � set-cookie �.
Voici le code source pour r�soudre ce chalenge

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
 
public class Test {
	public static void main(String[] args) {
		System.out.println("Début de CTF -- mini-chalenge --");
		WebPage page = new WebPage("http://docker.hackthebox.eu:30832/");
		String body = page.getBody();
		System.out.println("Voici la page à traiter : \n" + body);
		System.out.println("----------------------------------------------------");
		// étape 1 : extraction de la chaine à hasher
		Pattern pattern;
		Matcher matcher;
		pattern = Pattern.compile("([^<]+)
");
		matcher = pattern.matcher(body);
		String phrase = null;
		while(matcher.find()) phrase = matcher.group(1);
		//étape 2 : algorithme de hash MD5
		String hash = null;	
		try {
			byte[] byteChaine = phrase.getBytes(StandardCharsets.UTF_8);
			MessageDigest md = MessageDigest.getInstance("MD5");
			byte[] hashInBytes= md.digest(byteChaine);
			StringBuilder sb = new StringBuilder();
	        for (byte b : hashInBytes) {
	            sb.append(String.format("%02x", b));
	        }
	        hash = sb.toString();
		} catch (NoSuchAlgorithmException e) {
			e.printStackTrace();
		}
		//étape 3 : création du JSON de réponse
		System.out.println("La chaine en clair = " + phrase);
		System.out.println("Le hash = " + hash);
		String json = new StringBuilder()
				.append("{")
                .append("\" hash \":\"" + hash + "\"")
                .append("}").toString();
		//étape 4 : capture du cookie de session
		System.out.println("Les paramètres à passer dans la prochaine requête post = " + json);
		System.out.println("le cookie envoyé par le serveur pour rester dans la session : " + page.getHeader().get("set-cookie"));
		System.out.println("Fin de CTF -- mini-chalenge --");
	}
}

Impl�mentation de l�algorithme K-Means en java (partie 3)

autran — Thu, 30 Apr 2020 06:20:26 GMT

Pour ce dernier volet voici la classe DataSet qui porte la structure et les m�thodes � invoquer pour r�aliser l�algorithme K-Means.

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
 
public class DataSet {
	private List population;
	private List centroides;
	private  double EPSILON = 0.1;
 
	public DataSet() {
		this.population = new ArrayList();
		this.centroides = new ArrayList();
	}
	public void addData(Point p) {
		this.population.add(p);
	}
	public void addCentroide(Centroide e) {
		this.centroides.add(e);
	}
	public List getPopulation() {
		return population;
	}
	public List getCentroides() {
		return centroides;
	}
	public void assignation() {
		this.getCentroides().forEach(element -> element.empty());
		for (Point point : this.getPopulation()) {
			List distances = new ArrayList();
			for (Centroide cent : this.getCentroides()) {
				distances.add(point.getDistance(cent.getCenter()));
			}
			Double minimum = distances.stream().mapToDouble(v->v).min().orElseThrow(NoSuchElementException::new);
			this.getCentroides().get(distances.indexOf(minimum)).add(point);
		}
	}
	public boolean variation() {
		boolean flag = false;
		for (Centroide cent : this.getCentroides()) {
			Point newCenter = cent.getBarycenter();
			if(cent.getCenter().getDistance(newCenter) > EPSILON) {
				flag = true;
				cent.setCenter(newCenter);
			}
		}
		return flag;
	}
	@Override
	public String toString() {
		return "DataSet [population=" + population + ", centroides=" + centroides + "]";
	}
	public void kMeans() {
		do {
			this.assignation();
		} while(this.variation());
	}
}

Et voici quelques explications de ce code simple :

1/ Les propri�t�s de l�objet
On trouve 2 collections :
- population (le dataset des indidividus cible)
- centro�des (les centro�des choisi pour le traitement)
J�ai choisi de prendre des ArrayList pour sa convivialit� pour des raisons de performances puisqu�ils seront toujours acc�d�s de fa�on lin�aire.
On y trouve aussi une variable num�rique EPSILON que j�ai fix� arbitrairement � 0.1
Epsilon et la variation des positions requises des centro�de en dessous de laquelle l�it�ration s�arr�te. En toute rigueur j�aurai �galement du ajouter comme crit�re de convergence pour l�arr�t de l�it�ration le nombre de boucles.

2/ Les m�thodes de l�objet
1.1/ La m�thode assignation
Cette m�thode permet de d�attribuer un centro�de � chaque individu du cluster. A chaque ex�cution de cette fonction, les clusters de tout les centro�des sont vid�s, puis remplis avec les individus recalcul�s. J�avoue avoir eu recours une derni�re fois aux lambdas pour trouver la distance minimum en une ligne plut�t qu�en 10, pour montrer la puissance du c�t� fonctionnel du code (pour les jeunes jedi non encore convertis).

2.2/ La m�thode variation
Cette m�thode calcule le barycentre de chaque cluster et le compare � la valeur du centro�de. Si cette valeur est sup�rieure � EPSILON alors elle repositionne le centro�de et donne le feu vert pour la prochaine it�ration. Sinon elle signale que l�algorithme a converg�.

2.3/ La m�thode kMeans
Il s�agit de la boucle qui mod�lise la doctrine macroscopique de l�algorithme K-Means.
Peut �tre que j�aurais simplement d� la placer dans le main() mais mon cerveau doit �tre trop tordu et j�ai souhait� que ma classe DataSet soit totalement autoporteuse de l�algorithme. De plus j�ai appliqu� le principe du couplage l�che partout ou des atomes �taient rempla�ables (Point notamment), et mettre cette m�thode dans la classe DataSet ne me semblait pas �tre antagoniste de cette doctrine.

Impl�mentation de l�algorithme K-Means en java (partie 2)

autran — Wed, 29 Apr 2020 06:22:26 GMT

Pour faire suite � la partie 1 voici mon impl�mentation des objets Point et Centro�de

1/ Point
Cet objet permet de stocker les coordonn�es 2D d�un individu et de mesurer sa distance � un autre point. J�aurais pu sp�cialiser la classe abstraite Point2D du package AWT, mais seule la m�thode getDistance() nous servira. D�autant que dans un souci de g�n�ricit� et � l�aide des patrons de conceptions nous pourrons � terme remplacer Point par une unit� de stockage de dimension plus importante ou dont les m�trique reposent sur des �chelles discr�tes. Mais pour cette s�rie de d�article je me limiterai � un plan euclidien afin de pouvoir �tendre le spectre �tudi� jusqu�� la repr�sentation graphique en Swing/javaFX voire, s�il y a un public int�ress�, � la visualisation web.

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
 
public class Point {
 
	private double x;
	private double y;
 
	public Point(double x, double y) {
		this.x = x;
		this.y = y;
	}
 
	public double getDistance(Point P) {
		double dist = Math.sqrt(Math.pow(P.getX() - this.getX(),  2) + Math.pow(P.getY() - this.getY(),  2));
		return dist;
	}
 
	public double getX() {
		return x;
	}
 
	public double getY() {
		return y;
	}
 
	@Override
	public String toString() {
		return "Point [x=" + x + ", y=" + y + "]";
	}
 
}

2/ Centro�de
Cet objet est structurellement compos� de ses propres coordonn�es et du cluster de points dont il est le plus proche, soit respectivement :
- Center  un objet de type Point
- Sector  une collection de points
Le Centro�de � vocation � renouveler son cluster � chaque it�ration de l��tape d�assignation. C�est la raison pour laquelle il existe une m�thode de vidage du cluster empty().
Le centro�de poss�de �galement une m�thode qui retourne le barycentre de son cluster. J�ai volontairement �crit cette m�thode en invoquant sur les collections des m�thodes utilisant les lambda-expressions introduite depuis Java 8. L�int�r�t pour moi est de faire passer sur ce code source mon transpiler qui converti le Java en JS et ainsi pouvoir pr�-m�cher le portage de cette mini-appli java vers ce que je pratique au quotidien (Angular Node). Et l�int�r�t pour les lecteurs est de d�couvrir cette approche fonctionnelle du code. Mais je m�y engage, je ferai les prochaines classes en Java 5 traditionnel si cher au c�ur des d�veloppeurs JEE. N�h�sitez pas � me demander si vous souhaitez une version traditionnelle de cette m�thode� ou si au contraire vous pl�biscitez cette notation.

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
 
public class Centroide {
 
	private List sector;
	private Point center;
 
	public Centroide(Point center) {
		this.center = center;
		this.sector = new ArrayList();
	}
 
	public Point getCenter() {
		return center;
	}
 
	public void setCenter(Point center) {
		this.center = center;
	}
 
	public List getSector() {
		return sector;
	}
 
	public void empty() {
		this.sector.clear();
	}
 
	public void add (Point p) {
		this.sector.add(p);
	}
 
	public Point getBarycenter() {	
		double Abs = this.sector.stream().map(element -> element.getX()).reduce(Double.valueOf(0), (subtotal, element) -> subtotal + element)/this.sector.size();
		double Ord = this.sector.stream().map(element -> element.getY()).reduce(Double.valueOf(0), (subtotal, element) -> subtotal + element)/this.sector.size();	
		Point p = new Point(Abs, Ord);
		return p;
	}
 
	@Override
	public String toString() {
		return "Centroide [sector=" + sector + ", center=" + center + "]";
	}
 
}

Dans la partie 3 je vous livrerai la derni�re classe DataSet et peut �tre une autre si je d�couvre qu�elle n�est pas suffisante pour totalement impl�menter l'algorithme

Judo et d�veloppement m�me combat ?

autran — Tue, 28 Apr 2020 16:53:16 GMT

Je remarque que les judokas qui exercent leur activit� professionnelle dans le d�veloppement sont particuli�rement recherch�s. Je remarque �galement qu�ils restent assez longtemps dans la m�me entreprise et s�y �panouissent. Je fais ce constat sur la base de mon carnet d�adresses personnel et cela n�a en rien valeur de statistique. Mais ce constat me pousse � me demander si des synergies ou les similitudes existent entre ces 2 activit�s.

En premier lieu, je tiens � souligner que le judo est un sport puisqu�il est au programme des JO, mais �galement un art martial. Et � ce titre, il ne se r�sume pas � une activit� physique monolithique mais poss�de une dimension intellectuelle non n�gligeable.

Bien entendu, l�analyse doit �tre r�alis�e sur des �chantillons repr�sentatifs. Un d�veloppeur est un professionnel de la production de code qui maitrise un ou plusieurs langages et �volue majoritairement dans une �quipe en mode projet. Il est g�n�ralement titulaire d�un dipl�me (master ing�nieur) pour les plus jeunes ou d�une solide exp�rience pour les plus s�niors
Et dans le m�me souci de rigueur, on d�finira un judoka est un pratiquant de judo qui maitrise les techniques de son art dans suffisamment de secteurs (debout -sol�) pour y �tre reconnu comme tel. Nous limiterons donc notre �tude aux ceintures noires.

Quelles sont les qualit�s que l�on demande � un bon d�veloppeur :
- Produire un code propre et efficace
- S�int�grer dans une �quipe
- S�adapter aux difficult�s et trouver des solutions pour les surmonter

Pour y parvenir, il devra s�entrainer et apprendre les techniques de programmation, ne pas redouter de sortir de sa zone de confort et se lancer sur des technologies nouvelles.
Le judoka doit montrer des qualit�s similaires pour obtenir un judo efficace. Il doit r�p�ter les m�mes mouvements � l�entrainement pendant de longues heures pour que son geste soit pr�cis et rapide. Il doit disposer d�un arsenal vari� de techniques qui seront adapt�s � diff�rents types d�adversaires (petits grand gaucher droitier attaquant contreur..).
Et pour illustration de mon propos, ne parle-t-on pas couramment dans le domaine du code de (dojo � kata � randori�)

Je ne parlerai pas du respect et de la maitrise de soi qui sont autant de valeurs piliers du judo et qui sont probablement tr�s appr�ci�es chez un d�veloppeur en �quipe.

Impl�mentation de l�algorithme K-Means en java (partie 1)

autran — Tue, 28 Apr 2020 09:14:46 GMT

Pierre Schwartz vient de publier sur Developpez.com un article sur l�algorithme K-Means qui est passionnant et qui vulgarise cette m�thode de partitionnement des donn�es de fa�on magistrale. Aussi j�ai souhait� impl�menter son algorithme en Java.
Le p�rim�tre se limite � une population dont les individus sont caract�ris�s par 2 grandeurs ce qui permet de rester dans un plan euclidien.
En premi�re intention je vois l�utilisation de 3 objets :
- DataSet (la population) qui poss�dera toutes les m�thodes de l�algorithme K-Means
- Point (un individu)
- Centroide (le centre d�un cluster)

Le test devrait s�effectuer de cette facon :

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
 
public class Test {
	public static void main(String[] args) {
		System.out.println("Début de l'algo K-Means");
		//création du dataset
                DataSet dataset = new DataSet(); 
                //injection de la population dans le dataset
		dataset.addData(new Point(1,1));
		dataset.addData(new Point(1,2));
		dataset.addData(new Point(2,2));
		dataset.addData(new Point(4,1));
		dataset.addData(new Point(1,-1));
		dataset.addData(new Point(1,-2));
		dataset.addData(new Point(-2,2));
		dataset.addData(new Point(-4,-1));
		dataset.addData(new Point(5,-1));
		dataset.addData(new Point(1,7));
		dataset.addData(new Point(-2,-8));
		dataset.addData(new Point(-4,6));
		//initialisation de 3 centroides
		dataset.addCentroide(new Centroide(new Point(-1,-2)));
		dataset.addCentroide(new Centroide(new Point(1,4)));
		dataset.addCentroide(new Centroide(new Point(0,1)));
		//l’algo k-means
		dataset.kMeans();
		System.out.println("Fin de l'algo K-Means");
	}
}

Et si nous mettions dans l�algo un espion d�affichage des valeurs des centroides pour chaque �tape nous obtiendrions :

Code :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
D�but de l'algo K-Means
Centroide �tape 1 : [center=Point [x=-1.0, y=-2.0], center=Point [x=1.0, y=4.0], center=Point [x=0.0, y=1.0]]
Centroide �tape 2 : [center=Point [x=-1.0, y=-3.0], center=Point [x=-0.3333333333333333, y=5.0], center=Point [x=1.8, y=1.0]]
Centroide �tape 3 : [center=Point [x=-1.6666666666666667, y=-3.6666666666666665], center=Point [x=-1.6666666666666667, y=5.0], center=Point [x=2.3333333333333335, y=0.6666666666666666]]
Centroide �tape 4 : [center=Point [x=-3.0, y=-4.5], center=Point [x=-1.6666666666666667, y=5.0], center=Point [x=2.142857142857143, y=0.2857142857142857]]
Fin de l'algo K-Means

Je laisse les lecteurs v�rifier que mes valeurs sont correctes.
Je pars du principe que l�algo K-Means est compos� de 3 �tapes :
1/ Initialisation des centro�des
2/ Assignation d�un cluster � chaque centro�de
3/ Recalcul des coordonn�es de chaque centro�de pour le positionner en barycentre de son cluster

On boucle sur les 2 derni�res �tapes tant que calcul de barycentration ne converge pas.

Je proposerai dans un prochain billet (la partie 2) les objets Point et Centroide.

Capturer la r�ponse d'un serveur web en Java

autran — Wed, 22 Apr 2020 15:54:35 GMT

Lors d�un pentest web il est int�ressant de voir le contenu de ce qui est �chang� entre le serveur et le navigateur. Pas uniquement le body mais �galement le header et le statut de la r�ponse du serveur. Et pour tout ceux qui aiment le Java plus que les fen�tres de Burp, il est int�ressant de pouvoir mettre toute ces donn�es dans un objet Java.
Il ainsi possible de faire directement en java des directement traitements sur le contenu (body et header) et de d�velopper (dans un langage propre) une batterie d�outils pour de la crypto ou de la stegano.

Dans ce premier billet je vous propose de poser les bases d�une classe Java que l�on construit avec l�URL du site � �valuer et qui stocke les param�tres de la r�ponse du serveur dans un format exploitable :
- String pour le Body
- Int pour le StatusCode
- Et une collection pour les composants du header

En r�alit�, cette classe s�appuie sur la nouvelle API HTTP du JDK en standard depuis java 11 :

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
 
public class WebPage {
	private int statusCode;
	private Map> header;
	private String body;
	private String url;
	public int getStatusCode() {
		return statusCode;
	}
	public Map> getHeader() {
		return header;
	}
	public String getBody() {
		return body;
	}
	public WebPage(String URL) {
		this.url = URL;
		HttpClient httpClient = HttpClient.newHttpClient();
		HttpRequest request = HttpRequest.newBuilder().uri(URI.create(this.url)).GET().build();
		HttpResponse response;
		try {
			response = httpClient.send(request, BodyHandlers.ofString());
			this.statusCode = response.statusCode();
		    header = response.headers().map();
		    body = response.body().toString();
		} catch (IOException | InterruptedException e) {
		      e.printStackTrace();
	    }
	}
}

Elle s�exploite de cette fa�on :

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
 
public class Test {
	public static void main(String[] args) {
		System.out.println("Début de traitement");
		WebPage page = new WebPage("https://marcautran.developpez.com/");
		System.out.println("Status  : " + page.getStatusCode());
		System.out.println("Headers : " + page.getHeader().get("last-modified"));
		System.out.println("Body    : " + page.getBody());
		System.out.println("Fin de traitement");
	}
}

Conform�ment � l��thique je me limite au hack sur mes propres pages et sur mes propres serveurs.
Mais plus s�rieusement on peut voir que j�ai choisi d�afficher le body (le code HTML de la page) et la date de derni�re modification de cette page sur le serveur. Dans un prochain billet, je montrerai comment enrichir cette classe pour construire une requ�te vers le serveur. Et oui, Burp ne nous apporte que sa couche graphique� oui un peu plus si on prend Burp Suite pro

Mod�lisation d'une pand�mie en JAVA

autran — Sun, 12 Apr 2020 16:15:30 GMT

En r�action � cette actualit� https://www.developpez.net/forums/d2...bablement-ide/ , il me semble int�ressant de connaitre comment le gouvernement mod�lise la pand�mie. Car on ne connait pas grand-chose sur ce COVID19. En effet, on ne sait pas s�il se transmet autrement que par les postillons. On ne connait pas la dur�e d�immunisation apr�s une gu�rison�.
J�ai donc rassembl� les informations que j�avais et j�ai tent� une mod�lisation na�ve en JAVA. Je me suis dit que comme JAVA �tait un langage enseign� depuis maintenant 25 ans, la plupart des lecteurs de DVP sauraient le comprendre.
Mon id�e est de mod�liser un individu (caract�ristiques + comportement) et la fa�on dont son interaction avec les autres propage le virus. Pour ce qui nous concerne je suis partie d�une classe Individu qui poss�de un nom et un sexe ainsi qu�un statut s�rologique vis avis du virus.
Les caract�ristiques s�rologiques sont :
� Poss�de-t-il des antig�nes
� Poss�de-t-il des anticorps
S�il poss�de des antig�nes (avec ou sans anticorps) il est alors malade et contagieux
S�il poss�de des anticorps et pas d�antig�nes il est gu�ri, donc immunis� et non contagieux
S�il ne poss�de ni antig�ne ni anticorps il n�est pas malade ni immunis� mais pas contagieux
J�ai �galement ajout� une propri�t� (et ses getter/setter) pour le port du masque
La m�thode toString() que j�ai surcharg�e permettra � l�objet de ce d�crire et la m�thode healthReport() donnera le statut de l�individu vis-�-vis de la maladie.
Quant aux interactions, elles sont mod�lis�es par la m�thode approachOther() qui invoquera chez les individus concern�s, par cette transmission possible du virus, la m�thode contaminate()
Mon scenario de test est le suivant :
Je cr�e 3 individus :
2 hommes qui n�ont jamais �t� contamin�s
1 femme malade.
La femme sans masque approche un homme sans masque et le contamine
La femme avec un masque approche l�autre homme mais porte un masque donc ne le contamine pas.
L�homme contamin� gueri et approche l�autre homme et ne le contamine pas (bien que ne portant pas de masque tous les 2)
Voice le scenario en java :

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
 
public static void main(String[] args) {
		System.out.println("Début simulation COVID19");
		System.out.println("homme1 non contaminé");
		Individu homme1 = new Individu("Homme1", true, false, false);
		System.out.println(homme1.toString());
		System.out.println(homme1.healthReport());
		System.out.println("femme1 malade");
		Individu femme1 = new Individu("Femme1", false, true, true);
		System.out.println(femme1.toString());
		System.out.println(femme1.healthReport());
		System.out.println("homme2 non contaminé");
		Individu homme2 = new Individu("Homme2", true, false, false);
		System.out.println(homme2.toString());
		System.out.println(homme2.healthReport());
		System.out.println("femme1 rencontre homme1");
		femme1.approachOther(homme1);
		System.out.println(homme1.toString());
		System.out.println(homme1.healthReport());
		System.out.println("femme1 met un masque");
		femme1.setWearMask(true);
		System.out.println("femme1 rencontre homme2");	
		femme1.approachOther(homme2);
		System.out.println(homme2.toString());
		System.out.println(homme2.healthReport());
		System.out.println("homme1 gueri");
		homme1.setAntigene(false);
		System.out.println(homme1.toString());
		System.out.println(homme1.healthReport());
		System.out.println("homme1 rencontre homme2");
		homme1.approachOther(homme2);
		System.out.println(homme2.toString());
		System.out.println(homme2.healthReport());
		System.out.println("Fin simulation COVID19");
	}

Qui donne le r�sultat suivant :

Code :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
 
D�but simulation COVID19
homme1 non contamin�
Individu [name=Homme1, male=true, antigene=false, anticorps=false, wearMask=false]
non contamin� non immunis�
femme1 malade
Individu [name=Femme1, male=false, antigene=true, anticorps=true, wearMask=false]
malade
homme2 non contamin�
Individu [name=Homme2, male=true, antigene=false, anticorps=false, wearMask=false]
non contamin� non immunis�
femme1 rencontre homme1
Individu [name=Homme1, male=true, antigene=true, anticorps=true, wearMask=false]
malade
femme1 met un masque
femme1 rencontre homme2
Individu [name=Homme2, male=true, antigene=false, anticorps=false, wearMask=false]
non contamin� non immunis�
homme1 gueri
Individu [name=Homme1, male=true, antigene=false, anticorps=true, wearMask=false]
immunis�
homme1 rencontre homme2
Individu [name=Homme2, male=true, antigene=false, anticorps=false, wearMask=false]
non contamin� non immunis�
Fin simulation COVID19

Et voici maintenant la classe individu :

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
 
public class Individu {
	private String name;
	private boolean male;
	private boolean antigene;
	private boolean anticorps;
	private boolean wearMask;
	public Individu(String pName, boolean pMale, boolean pAntigene, boolean pAnticorps) {
		this.name = pName;
		this.male = pMale;
		this.anticorps = pAnticorps;
		this.antigene = pAntigene;
		this.wearMask = false;
	}
 
	public void approachOther(Individu person) {
		person.contaminate(this);
		this.contaminate(person);
	}
	public void contaminate(Individu person) {
		if (!(this.isAnticorps() || this.isAntigene() || this.isWearMask() || person.isWearMask())) {
			if (person.isAntigene()) {
				this.setAntigene(true);
				this.setAnticorps(true);
			}
		}
	}
 
	@Override
	public String toString() {
		return "Individu [name=" + name + ", male=" + male + ", antigene=" + antigene + ", anticorps=" + anticorps
				+ ", wearMask=" + wearMask + "]";
	}
 
	public String healthReport() {
		if (this.isAntigene()) return ("malade");
		else if (this.isAnticorps()) return "immunisé";
		else return "non contaminé non immunisé";
	}
 
	public boolean isAntigene() {
		return antigene;
	}
	public void setAntigene(boolean antigene) {
		this.antigene = antigene;
	}
	public boolean isAnticorps() {
		return anticorps;
	}
	public void setAnticorps(boolean anticorps) {
		this.anticorps = anticorps;
	}
 
	public boolean isMale() {
		return male;
	}
 
	public boolean isWearMask() {
		return wearMask;
	}
 
	public void setWearMask(boolean wearMask) {
		this.wearMask = wearMask;
	}
 
	public String getName() {
		return name;
	}
 
}

Si vous jugez que les bases de cette mod�lisation sont erron�es, n�h�sitez pas � me le dire, et je corrigerai le mod�le. Je pr�vois de poursuivre cette simulation en ajoutant des facteurs de gu�rison (age � sexe..) et de randomiser la s�roconversion avec d�autres propri�t�s que j�ajouterai � la classe individu comme la sensibilisation aux gestes barri�re�
Si le JAVA vous d�range et que vous pr�f�rez que je fasse la simulation sous Excel avec un peu de VBA faites moi signe �galement, je serai toujours heureux de travailler en �quipe avec des gens int�ress�s.

Aidons les soignant � Restons confin� � Appliquons les gestes barri�re

Traitement d�un fichier de configuration mixte en java Partie 3

autran — Mon, 06 Apr 2020 17:43:06 GMT

Ce billet va montrer comment exploiter un ficher de configuration httpd.conf.properties obtenu dans le post pr�c�dant.
Voici le fichier :

Code :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
ThreadsPerChild=250
MaxRequestsPerChild= 0
Listen=80
ServerRoot="/www/Apache22"
DocumentRoot="/THDL/thdl-site"
ServerName=localhost:80
ServerAdmin=admin@localhost
ErrorLog=logs/error.log
LogLevel=error
LoadModule=alias_module modules/mod_alias.so
LoadModule=authz_host_module modules/mod_authz_host.so
LoadModule=autoindex_module modules/mod_autoindex.so
LoadModule=dir_module modules/mod_dir.so
LoadModule=log_config_module modules/mod_log_config.so
LoadModule=mime_module modules/mod_mime.so
LoadModule=rewrite_module modules/mod_rewrite.so
LoadModule=setenvif_module modules/mod_setenvif.so
DefaultType=text/plain
IndexIgnore=.htaccess
Redirect=/thdl http://localhost
Include=conf/extra/httpd-autoindex.conf
Include=conf/extra/httpd-languages.conf
Include=conf/extra/httpd-info.conf
Include=conf/extra/httpd-manual.conf
Include=conf/extra/httpd-default.conf
Include=conf/Suite-extra/components.conf
LoadFile="C:/www/php5/php5ts.dll"
LoadModule=php5_module "C:/www/php5/php5apache2.dll"

On remarque imm�diatement un probl�me de cl� qui sont mention�es pmusieurs fois avec es valeur diff�rentes. Ce sont les cl�s Include et LoadModule. En effet on peut charger plusieurs modules et inclure plusieurs fichiers. Nous devons mettre toutes les valeurs dans une seule cl� afin d�obtenir le fichier suivant :

Code :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
ThreadsPerChild=250
MaxRequestsPerChild= 0
Listen=80
ServerRoot="/www/Apache22"
DocumentRoot="/THDL/thdl-site"
ServerName=localhost:80
ServerAdmin=admin@localhost
ErrorLog=logs/error.log
LogLevel=error
DefaultType=text/plain
IndexIgnore=.htaccess
Redirect=/thdl http://localhost
LoadFile="C:/www/php5/php5ts.dll"
Include=conf/extra/httpd-autoindex.confconf/extra/httpd-languages.confconf/extra/httpd-info.confconf/extra/httpd-manual.confconf/extra/httpd-default.confconf/Suite-extra/components.conf
LoadModule=alias_module modules/mod_alias.soauthz_host_module modules/mod_authz_host.soautoindex_module modules/mod_autoindex.sodir_module modules/mod_dir.solog_config_module modules/mod_log_config.somime_module modules/mod_mime.sorewrite_module modules/mod_rewrite.sosetenvif_module modules/mod_setenvif.sophp5_module "C:/www/php5/php5apache2.dll"

Pour cela nous rajoutons une m�thode � notre classe utilitaire (Util) qui prend en param�tre le nom du fichier � synth�tiser
Rentrons maintenant dans le vif du sujet, nous avons besoin d�une classe qui charge depuis ce fichier de propri�t�s les valeurs de param�trage :

ThreadsPerChild
MaxRequestsPerChild
Listen
ServerRoot
DocumentRoot
�.
LoadModule

Rien ne sera plus simple avec la core library de java (java.util) et sa classes Properties
La classe portera le nom de Configuration et sera utilisable de cette facon :

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
 
		Configuration conf = new Configuration("httpd.conf.properties");
		System.out.println("les modules chargées sont : " + conf.getLoadModule());

On construit une instance de cette classe en passant � son constructeur le nom du fichier de conf et on appelle les propri�t�s que l�on souhaite afficher. Voici le code source de cette classe limit� � une propri�t� pour ne pas �tre trop verbeux.

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
 
public class Configuration {
 private String loadModule;
 public Configuration(String fileName) {
	 Properties prop = new Properties();
		try {
			FileInputStream inputStream = new FileInputStream(fileName);
			prop.load(inputStream);
			this.loadModule = prop.getProperty("LoadModule");
		} catch (IOException e) {
			e.printStackTrace();
		}
 }
 public String getLoadModule() {
	return loadModule;
 }
}

Traitement d�un fichier de configuration mixte en java Partie 2

autran — Sun, 05 Apr 2020 16:32:03 GMT

dans ce post, nous avions besoin d�analyser le contenu d�un fichier de configuration qui est �crit en XML, mais qui contient �galement des classiques pairs de cl�/valeur. Et comme notre analyse pourrait �tre men�e sur une ferme de serveurs (par exemple dans le cadre d�un audit de s�curit�) il n�est pas question de le faire � la main. ce Billet va donc montrer comment faire ce job automatiquement en Java.
Pour illustrer mon propos je vais faire la d�monstration sur un fichier de configuration Apache (le fameux httpd.conf). Voici � quoi il ressemble :

Code :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
###*********************************************************
###*  Secured configuration                                *
###*  Apache configuration file                            *
###*  No need 4 hardening                                  *
###*  v1.95-httpd22-ssl                                    *
###*********************************************************


ThreadsPerChild 250
MaxRequestsPerChild  0

Listen 80

ServerRoot "/www/Apache22"
DocumentRoot "/THDL/thdl-site"
## was /www/webroot

ServerName localhost:80
ServerAdmin admin@localhost

ErrorLog logs/error.log
LogLevel error

###
# Note that the following LoadModule lines only represent the minimum 'Web-Developer' Suite configuration.
#
# Also note that some of the following LoadModule lines, which are commented out, are still loaded under�
# confSuite-extra*.conf
# confextra*.conf
# �configuration files -- for modular reasons.
# 
# For example:
# mod_deflate is loaded under confSuite-extramod_deflate_logio.conf and NOT under httpd.conf
# status_module is loaded under confextrahttpd-info.conf and NOT under httpd.conf
#
# Check last part of httpd.conf for the Apache base and 'Web-Developer' *.conf files that are included.
###

#LoadModule actions_module modules/mod_actions.so
LoadModule alias_module modules/mod_alias.so
#LoadModule asis_module modules/mod_asis.so
#LoadModule auth_basic_module modules/mod_auth_basic.so
#LoadModule auth_digest_module modules/mod_auth_digest.so
#LoadModule authn_anon_module modules/mod_authn_anon.so
#LoadModule authn_dbm_module modules/mod_authn_dbm.so
#LoadModule authn_default_module modules/mod_authn_default.so
#LoadModule authn_file_module modules/mod_authn_file.so
#LoadModule authz_dbm_module modules/mod_authz_dbm.so
#LoadModule authz_default_module modules/mod_authz_default.so
#LoadModule authz_groupfile_module modules/mod_authz_groupfile.so
LoadModule authz_host_module modules/mod_authz_host.so
#LoadModule authz_user_module modules/mod_authz_user.so
LoadModule autoindex_module modules/mod_autoindex.so
#LoadModule cern_meta_module modules/mod_cern_meta.so
#LoadModule cgi_module modules/mod_cgi.so
#LoadModule dav_module modules/mod_dav.so
#LoadModule dav_fs_module modules/mod_dav_fs.so
#LoadModule deflate_module modules/mod_deflate.so
LoadModule dir_module modules/mod_dir.so
#LoadModule env_module modules/mod_env.so
#LoadModule expires_module modules/mod_expires.so
#LoadModule file_cache_module modules/mod_file_cache.so
#LoadModule headers_module modules/mod_headers.so
#LoadModule imagemap_module modules/mod_imagemap.so
#LoadModule include_module modules/mod_include.so
#LoadModule info_module modules/mod_info.so
#LoadModule isapi_module modules/mod_isapi.so
LoadModule log_config_module modules/mod_log_config.so
LoadModule mime_module modules/mod_mime.so
#LoadModule mime_magic_module modules/mod_mime_magic.so
#LoadModule proxy_module modules/mod_proxy.so
#LoadModule proxy_ajp_module modules/mod_proxy_ajp.so
#LoadModule proxy_balancer_module modules/mod_proxy_balancer.so
#LoadModule proxy_connect_module modules/mod_proxy_connect.so
#LoadModule proxy_http_module modules/mod_proxy_http.so
#LoadModule proxy_ftp_module modules/mod_proxy_ftp.so
#LoadModule negotiation_module modules/mod_negotiation.so
LoadModule rewrite_module modules/mod_rewrite.so
LoadModule setenvif_module modules/mod_setenvif.so
#LoadModule speling_module modules/mod_speling.so
#LoadModule status_module modules/mod_status.so
#LoadModule unique_id_module modules/mod_unique_id.so
#LoadModule userdir_module modules/mod_userdir.so
#LoadModule usertrack_module modules/mod_usertrack.so
#LoadModule vhost_alias_module modules/mod_vhost_alias.so

	LoadModule ssl_module modules/mod_ssl.so



DefaultType text/plain


    DirectoryIndex index.html index.php index.aspx


IndexIgnore .htaccess

    Order allow,deny
    Deny from all



Redirect /thdl http://localhost


    Options FollowSymLinks
    AllowOverride all
    Order deny,allow
    Allow from all
    Satisfy all


## was /www/webroot

    Options Indexes FollowSymLinks
    AllowOverride all
    Order allow,deny
    Allow from all



    TypesConfig conf/mime.types
    AddType application/x-compress .Z
    AddType application/x-gzip .gz .tgz



# Apache base configuration
#
# The configuration files in the conf/extra/ directory can be 
# included to add extra features or to modify the default configuration of 
# the server.

# Server-pool management (MPM specific)
#Include conf/extra/httpd-mpm.conf

# Multi-language error messages
#Include conf/extra/httpd-multilang-errordoc.conf

# Fancy directory listings
Include conf/extra/httpd-autoindex.conf

# Language settings
Include conf/extra/httpd-languages.conf

# User home directories
#Include conf/extra/httpd-userdir.conf

# Real-time info on requests and configuration
Include conf/extra/httpd-info.conf

# Virtual hosts
#Include conf/extra/httpd-vhosts.conf

# Local access to the Apache HTTP Server Manual
Include conf/extra/httpd-manual.conf

# Distributed authoring and versioning (WebDAV)
#Include conf/extra/httpd-dav.conf

# Various default settings
Include conf/extra/httpd-default.conf


# DeveloperSide.NET Server-Suite Configuration
#
# The configuration files in the conf/Suite-extra/ directory can be 
# included to add extra features or to modify the default configuration of 
# the server.
#
# The specifics are loaded under components.conf�

Include conf/Suite-extra/components.conf


# Security check -- if no php5 module is loaded, Apache should return 'permissions denied' on php5 all URL requests

	
		
			Order allow,deny
			Deny from all
		
	


#For PHP5
LoadFile "C:/www/php5/php5ts.dll"
LoadModule php5_module "C:/www/php5/php5apache2.dll"


	#PHPIniDir "C:/Windows"

	
		AddType text/html .php .phps
		AddHandler application/x-httpd-php .php
		AddHandler application/x-httpd-php-source .phps
	




	Include conf/extra/httpd-ssl.conf
	SSLRandomSeed startup builtin
	SSLRandomSeed connect builtin


## Added for MYsql/PMA based on guide.

     Alias /phpMyAdmin "C:/www/phpMyAdmin"



     Options None
     AllowOverride None
     order deny,allow
     deny from all
     allow from 127.0.0.1

Dans un premier temps je vais le transformer en un fichier XML et un fichier traditionnel du si�cle pr�c�dent .properties. Je dois donc transformer mon fichier httpd.conf en un fichier httpd.conf.xml et un fichier httpd.conf.properties
J�ai choisi ce fichier qui me semble assez significatif de ce que l�on peut trouver. On y remarque 3 choses :
- Il y a beaucoup de commentaires verbeux autant qu�inutiles et que l�on peut rep�rer facilement puisqu�il commence par un #
- Les ligne cl�/valeur sont sur le mod�le cl� + un espace + valeur et il commence sans indentation
- Les ligne XML (plut�t bien form�es) sont facilement rep�rables car ils comprennent une balise du style ou commencent par un espace (voire une tabulation)
Je vais donc cr�er une classe utilitaire (Util) avec 3 m�thodes (Static) permettant de g�n�rer depuis un nom de fichier pass� en param�tre :
- Un fichier sans commentaires
- Un fichier uniquement XML
- Un fichier cl� valeur

1/ La m�thode de nettoyage des commentaires :
On remarque que l�on peut choisir le caract�re de d�but d�une ligne de commentaires
On profite �galement de cette op�ration de nettoyage pour se d�barrasser des lignes vides

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
 
static public boolean removeComments(String fileName, String beginComments) {
		File inputFile = new File(fileName);
		File clearFile = new File(fileName+".clear");
		try {
			BufferedReader reader = new BufferedReader(new FileReader(inputFile));
			BufferedWriter writer = new BufferedWriter(new FileWriter(clearFile));
			String content = "";
			while((content = reader.readLine()) != null)  {
				if (content.length() > 0 && !content.contains(beginComments) && content != "") {
					writer.write(content);
					writer.write("\n");
				}
			}
			reader.close();
			writer.close();
		} catch (IOException e) {
			e.printStackTrace();
			return false;
		}
		return true;
	}

2/ La m�thode de g�n�ration du fichier XML
On prendra comme fichier d�entr�e un fichier expurg� des commentaires

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
 
static public boolean file2Xml(String fileName) {
		File inputFile = new File(fileName);
		File clearFile = new File(fileName+".xml");
		try {
			BufferedReader reader = new BufferedReader(new FileReader(inputFile));
			BufferedWriter writer = new BufferedWriter(new FileWriter(clearFile));
			String content = "";
			while((content = reader.readLine()) != null)  {
					if (content.contains("<") && content.contains(">") || content.charAt(0) == ' ' || content.charAt(0) == '\t') {
						writer.write(content);
						writer.write("\n");
					}
			}
			reader.close();
			writer.close();
		} catch (IOException e) {
			e.printStackTrace();
			return false;
		}
		return true;
	}

3/ La m�thode de g�n�ration du fichier de propri�t�s

On prendra toujours le m�me fichier en entr�e
Mais on le mettra sous la forme cl� : valeur afin qu�il puisse automatiquement �tre charg� par l�API core de Java

Code java :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
 
static public boolean file2Prop(String fileName) {
		File inputFile = new File(fileName);
		File clearFile = new File(fileName+".properties");
		try {
			BufferedReader reader = new BufferedReader(new FileReader(inputFile));
			BufferedWriter writer = new BufferedWriter(new FileWriter(clearFile));
			String content = "";
			while((content = reader.readLine()) != null)  {
					if (!content.contains("<") && !content.contains(">") && content.charAt(0) != ' ' && content.charAt(0) != '\t') {
						int index = content.indexOf(" ");
						String resultString = content.substring(0, index) + ":" + content.substring(index+1);
						writer.write(resultString);
						writer.write("\n");
					}
			}
			reader.close();
			writer.close();
		} catch (IOException e) {
			e.printStackTrace();
			return false;
		}
		return true;
	}

Nous verrons dans un prochain billet comment traiter ces 2 fichiers en java pour �valuer la configuration de s�curit� de la cible (le serveur)

Parser des fichiers de configuration "mixtes"

autran — Sat, 04 Apr 2020 20:30:15 GMT

Au d�but du si�cle, les fichiers de configuration �taient encore une collection de cl�/valeur
Dans les ann�es 2010 le XML s�est progressivement impos� comme format standard de configuration. C�est en particulier vrai dans le monde des serveurs JEE o� les fichiers ont d�ailleurs une extension.xml
En ce d�but de d�cennie, il apparait comme important de pouvoir exploiter automatiquement ces fichiers de configurations. En effet le DEVOPS et l�offre Cloud imposent de pouvoir les lire et les modifier � travers des outils. Sur ce point de nombreux outils graphiques d�orchestration (d�ploiement � monitoring�) permettent de configurer et lire les fichiers de configuration XML.

Malheureusement, tout n�est pas si droit de l��il et certains fichiers, s�ils ont adopt� le balisage XML n�en pont pas pour autant renonc� � le m�langer avec les listes de propri�t�s et leurs valeurs. Un bon exemple de ces d�viants est le fichier de configuration Apache httpd.conf
Pour beaucoup d�acteurs du DEVOPS ils se contentent de ne lire et configurer que les fichiers XML en partant du principe que qu�ils surchargent les fichiers historiques. Et pour bien d�autres, ils n�exploitent que la portion r�pondant � la syntaxe XML de ces fichiers. Et d�un point de vue purement fonctionnel, ce comportement semble � premi�re vue payant puisque les serveurs d�applications ainsi configur�es fonctionnent avec les performances exig�es et les facilit�s d�exploitation attendues.
N�anmoins, ces fichiers mixtes sont des sources de vuln�rabilit�s exploitables par des cyber-attaquants. Un exemple, toujours dans le fichier httpd.conf, est la valeur attribu�e derri�re la directive Include. La Valeur * devant �tre bannie pour �viter le hijacking.
Il devient donc utile de pouvoir lire et modifier ces fichiers mixtes afin de r�aliser des audits et des hardenings. Ces vuln�rabilit�s sont aujourd�hui track�es et rem�di�es manuellement, mais le SecDevOps impose de pouvoir le faire automatiquement.
L�objet de ce billet sera donc de poser les bases de l�exploitation de ces fichiers mixtes. Deux questions pr�gnantes se posent :
1/Quelle m�thode adopter pour parser ces fichiers ?
2/Quel(s) langage(s) utiliser ?

1/ L�id�e de man�uvre pour le parsing
De nombreux langages offrent la possibilit� de traiter facilement un DOM XML mais �galement de traiter une liste de propri�t�s. Malheureusement les biblioth�ques ne sont pas les m�mes, et les fichiers doivent �tre pur XML ou pur cl�/valeur
L�id�e serait alors de spliter le fichier � analyser en deux sous fichiers, en expurgeant l�original du XML pour l�un et des lignes cl� valeur pour l�autre. On serait ainsi en mesure de mener un parsing sur des fichiers uniformes.

2/ Les Langages
Traditionnellement les langages utilis�s pour �crire des outils d�audit et de hardening sont d�pendant des plate-formes � analyser. On retrouve donc traditionnellement du Bash sur les syst�mes Unix et du PowerShell sur les serveurs Windows. Cette dichotomie poss�de l�avantage de pouvoir executer syst�matiquement car tous les unix poss�deront un interpr�teur shell (Bash KornShell�) et les Windows un interpr�teur Powershell. En revanche le traitement du XML pur en Bash est difficile car il se fera � grands coups de sed ou hawk sans certitude de bien analyser la syntaxe XML. De plus, cela impose de d�velopper 2 fois un outil si le serveur d�application est r�parti sur des Unix et des Windows. Pour cette raison, certains ont opt� pour des scripts python. Mais le python va requ�rir que l�interpr�teur soit ajout� � la configuration du serveur.
On voit que l�id�al serait d�utiliser un langage unique sur les 2 plateforme mais d�j� pr�sent nativement. Pour cette raison, si on suppose que les serveurs d�application sont JEE ou.Net, il parait int�ressant de d�velopper les scripts avec les langages qui portent ces technologies. Par exemple, pour les serveurs d�application JEE, le langage Java permettra de faire le job quel que soit l�OS support et on aura la garantie que la JVM sera toujours pr�sente.

Aussi dans le prochain post, je vais parser un fichier httpd.conf en java afin de valider l�efficacit� de la m�thode na�ve d�crite d�une part, et la capacit� de Java pour ce genre de tache dans une optique d�industrialisation d�autre part.

Consultant en cybers�curit� : Un m�tier d�avenir pour les d�veloppeurs juniors.

autran — Sun, 21 Apr 2019 13:12:29 GMT

Aujourd�hui un d�veloppeur junior � 2 choix d��volution de carri�re en France :
� Rester d�veloppeur � des tarifs inf�rieurs � ce que la d�cence exige.
� Devenir chef de projet et abandonner la technique.

Mais peu de d�veloppeurs savent qu�une troisi�me voie existe pour �chapper � cette fatalit� typiquement fran�aise : devenir consultant en cybers�curit�.

Je me limite volontairement � la population des d�veloppeurs juniors (c�est-�-dire des Bac+5 avec moins de 8 ans d�exp�rience.
Il est entendu qu�un lead developer maitrisant de nombreuses technologies ou un core API developer �voluera sur des salaires beaucoup plus confortables.

En effet un d�veloppeur junior qui poss�de plus de 2 ans d�exp�rience en d�veloppement (quel que soit le langage) est un asset qui maitrise les bases techniques de l�informatique (Tout n�est que code source).
Il est donc quasiment pr�t � r�aliser des missions de cybers�curit�. Les premi�res missions seront conduites sous la bienveillance d�un consultant s�nior, le temps que le junior s�impr�gne de la culture cybers�curit� et des r�f�rentiels.

Ce m�tier permet au consultant de rester dans le domaine technique (auditeur de code source � expert s�curit� DEVOPS � Pentester applicatif), tout en �voluant vers un statut et un salaire imm�diatement sup�rieur. Et dans un deuxi�me temps, il pourra s�essayer � des missions de gouvernance et d�analyse de risque tout en gardant la possibilit� de revenir sur le domaine technique.

Recruter des professeurs de math�matiques

autran — Mon, 12 Feb 2018 16:58:13 GMT

Je profite de la publication du rapport Villani sur l�enseignement des math�matiques pour proposer une piste de r�flexion qui permettrait de sortir d�une impasse purement fran�aise : l��ducation nationale ne parvient pas � recruter de professeurs de math�matiques.
Ce billet n�a pas vocation � rappeler les 21 mesures (de bon sens) que propose notre m�daill� Fields. D�autres m�dias fran�ais se sont d�j� livr�s � cet exercice dans le d�tail.
N�anmoins on constate que la notori�t� (l�gitime) de notre math�maticien lui permet de faire �voluer les mentalit�s du plus pl�thorique et pr�historique des minist�res de l��tat. Alors profitons de cette dynamique pour proposer des mesures modernes.

La probl�matique semble simple, les � matheux � fran�ais ne veulent pas devenir professeur de math�matiques. Les 2 principaux freins au recrutement sont :

La r�mun�ration faible d�un professeur de math�matiques (Physique..)
Le manque de valorisation des math�matiques et des mati�res scientifiques, en particulier au coll�ge.

Depuis 20 ans l��ducation nationale s�ent�te sur la r�mun�ration des professeurs de math�matiques sans jamais remettre en cause son mod�le bas� sur le fonctionnariat. La probl�matique est pourtant simple, on propose aujourd�hui � des jeunes dipl�m�s de devenir fonctionnaires (de travailler beaucoup moins que dans le priv�) donc de co�ter cher au contribuable mais de gagner peu. Alors que ces m�mes dipl�m�s ne r�vent que de travailler plus et de gagner plus, mais ne souhaitent pas devenir fonctionnaires. La meilleure preuve en est qu�ils partent tous dans le priv� pour des emplois d�ing�nieurs ou d�veloppeurs. Pourquoi imposer cette id�e que pour �tre un bon (voire un grand) professeur il faut imp�rativement �tre fonctionnaire. Non, Enseignement n�est pas un synonyme de fonction publique !
Une solution serait de faire appel � des soci�t�s de services intellectuels qui dispenseraient des enseignements de math�matiques dans les coll�ges et lyc�es.
Ce mod�le est viable et fonctionne depuis des d�cennies dans l�informatique. Nombreux sont les minist�res et collectivit�s territoriales qui font appel � des SSII pour d�velopper et op�rer leurs syst�mes d�information. Ce syst�me permettrait de mieux r�mun�rer les enseignants externalis�s dans la mesure ou l��tat ne serait pas dans l�obligation de leur financer 3 mois et demi de vacances ni une retraite de la fonction publique.
Bien entendu, les programmes seraient respect�s puisqu�ils constituaient le cahier des charges contractuels entre les SSI et le minist�re de l��ducation. Ce processus serait m�me vertueux au point de promouvoir le corps des inspecteurs au rang d�assistance � ma�trise d�ouvrage pour v�rifier la bonne r�alisation de la prestation et la conformit� aux programmes nationaux.
Cette solution permettrait �galement d�adresser le d�valorisation des math�matiques (surtout au coll�ge) qui exclu de l��quipe enseignante bon nombre de professeurs de math�matiques. En faisant simplement dispara�tre le probl�me. En effet, de cette fa�on les enseignants scientifiques ne cohabitent plus sous le m�me statut avec les professeurs de Musique - Dessin - Education Manuelle et Technique..)

Et vous, qu'elles solutions pour recruter des prof de maths ?

Charger des objets en Python depuis un fichier XML

autran — Sat, 01 Apr 2017 10:30:28 GMT

Dans ce billet, je vous propose un petit composant que j'ai �crit sous la forme d'une classe tr�s courte pour charger un catalogue d'objets depuis un fichier XML.

J'ai pris le parti d'utiliser la biblioth�que standard de manipulation XML lxml pour me faciliter la t�che. Cette librairie s'installe directement avec la commande pip install lxml depuis toute station Unix ou Windows connect�e � internet (nano PC de type raspberry compris).
Voici le fichier XML que je vais parser :

Code xml :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
 version="1.0" encoding="UTF-8"?>
>
    >
        >
            Ponsable
        >
        >
            Thérèse
        >
        >
            "therese.ponsable@dumatos.org"
        >
        >
            "01020304"
        >
    >
     >
        >
            Rambo
        >
        >
            John
        >
        >
            "rambo@biscotos.org"
        >
        >
            "12356498"
        >
    >
    >
        >
            Rocky
        >
        >
            Balboa
        >
        >
            "Rocky@baston.org"
        >
        >
            "12356498"
        >
    >
    >
        >
            Starsky
        >
        >
            David
        >
        >
            "david.starsky@guignols.org"
        >
        >
            "12356498"
        >
    >
>

On remarque que le catalogue de clients est sous le tag et que chaque client poss�de un nom, un prenom, un email et un telephone. J'ai choisi de composer des entit�s XML � partir d'Element XML, mais j'aurais tout aussi bien pu utiliser des attributs. La discussion autour du choix entre attribut et �l�ment restera en dehors du scope de ce billet.
L'objectif de mon chargeur est de cr�er une liste d'objets Client depuis cette source XML.
Voici le code source de ma classe Client :

Code python :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
class Client :
    rang = 0
    def __init__(self, nom, prenom, email, tel):
        Client.rang += 1
        self.ident = Client.rang
        self.nom = nom
        self.prenom = prenom
        self.email = email
        self.tel = tel
 
    def afficher(self):
        print(str(self.ident) + " " + self.nom + " " + self.prenom + " " + self.email + " " + self.tel)

J'ai logiquement ajout� � cet objet une m�thode qui lui permet de s'afficher. Je l'ai �galement �quip� d'un attribut static rang initialis� � 0 qui s'incr�mente � la construction de chaque nouvelle instance, pour servir d'index dans ma collection.
Voici enfin le code source de mon composant :

Code python :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
class Carnet :
    def  __init__(self):
        self.clients = list()
 
    def ajouter(self, client):
        self.clients.append(client)
 
    def afficher(self):
        for client in self.clients:
            client.afficher()
 
    def charger(self, nomFichier):
        tree = etree.parse(nomFichier)
        for client in tree.xpath("/clients/client"):
            self.ajouter(Client(client.find("nom").text, client.find("prenom").text, client.find("email").text, client.find("tel").text))

Je n'utilise qu'un objet de la biblioth�que lxml : la classe etree qui me permet de parser un fichier XML et de mapper l'ensemble des �l�ments de mon fichier XML dans une collection Python, comme le font les langages modernes (pour feignants) tels que PowerShell.
Pour le test, il suffit de charger le fichier et de l'afficher de cette fa�on :

Code python :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
carnet = Carnet()
carnet.charger("clients.xml")
carnet.afficher()

Attention, cette petite classe est un composant de dev � modifier pour les besoins de chacun, mais ne constitue en aucun cas une source utilisable en production. En effet, aucun test de validit� des valeurs du fichier XML n'est r�alis� au chargement.

Cr�er un tableau interactif en python avec Tkinter

autran — Sun, 26 Mar 2017 21:10:46 GMT

Beaucoup de d�veloppeurs Python se plaignent qu'il n'y ai pas de tableaux en Tkinter.
Il faut reconna�tre que Python est un beau produit tr�s l�ger qui permet nativement de d�velopper des IHM pour Windows comme UNIX. Ce qui est bien pratique pour d�velopper sur des nano PC comme raspberry. Alors je propose cette classe qui sera adaptable sur le principe comme un composant enfichable sur une IHM Tk.
Je l'utilise couramment pour charger les tableaux que j'ai charg�s depuis Excel ou XML, car Python le g�re tr�s bien �galement et quasiment nativement.

Code python :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
class IHM(Frame):
    def __init__(self, fenetre, height, width):
        Frame.__init__(self, fenetre)
        self.numberLines = height
        self.numberColumns = width
        self.pack(fill=BOTH)
        self.data = list()
        for i in range(self.numberLines):
            line = list()
            for j in range(self.numberColumns):
                cell = Entry(self)
                cell.insert(0, 0)
                line.append(cell)
                cell.grid(row = i, column = j)
            self.data.append(line)
 
        self.results = list()
        for i in range(self.numberColumns):
            cell = Entry(self)
            cell.insert(0, 0)
            cell.grid(row = self.numberLines, column = i)
            self.results.append(cell)
        self.buttonSum =  Button(self, text="somme des colonnes", fg="red", command=self.sumCol)
        self.buttonSum.grid(row = self.numberLines, column = self.numberColumns)
 
    def sumCol(self):
        for j in range(self.numberColumns):
            result = int(0)
            for i in range(self.numberLines):
                result += int(self.data[i][j].get())
            self.results[j].delete(0, END)
            self.results[j].insert(0, result)

Cette classe permet de cr�er un tableau dynamique de dimensions variables. J'expose �galement une m�thode pour obtenir en pied de colonne les sommes. Cet objet est h�rit� de la classe Frame bien connue des d�veloppeurs Tkinter. Elle prend en param�tre de construction la fen�tre dans laquelle elle viendra s�ins�rer ainsi que les dimensions du tableau de donn�es.
Donc dans le main on la lancerait de la fa�on suivante :

Code python :

S�lectionner tout - Visualiser dans une fen�tre � part

1
2
3
fenetre = Tk()
interface = IHM(fenetre, 6, 5)
interface.mainloop()