Discussion :

[kodo]

Bonjour tout le monde,
Je demande votre avis sur une demande exprimée par un client:
il a un script shell qui le lance à partir de l'invite de commande, il veut que nous lui donnons la possibilité de le lancer depuis une application web que nous sommes en train de développer.
D'un point de vue sécurité, est il conseillé d'avoir ce genre de fonctionnalité dans une application web ?
Si c'est oui et à part ce que fait le script, de quoi nous devons faire attention ?

Je vous remercie.

[OButterlin]

Avant, on pouvait passer par une applet signée pour lancer un exe ou une commande sur le poste client.
Maintenant, les dernières versions des navigateurs ne le supporte plus...
Du coup, il faudrait peut-être s'orienter vers JNLP avec un petit programme java qui s'occupera de lancer la commande... mais bon, les théories des "grands penseurs" veulent qu'une application web ne fasse pas ça... dommage pour certains
L'argument sécurité me fait plutôt sourire... une question au lancement d'une applet me paraît largement suffisant... l'insécurité vient des utilisateurs, avec leurs habitudes d'installer des programmes à partir du net en cliquant OK, OK, OK, etc...

[tchize_]

A noter que si tu as un certain controle sur le poste client, tu peux simplement installer un custom protocol handler qui permet de lancer ton application depuis la page web. A titre d'exemple, steam le fait en enregistrant un protocole pour steam://, skype installe un handler pour tel:// etc.


https://msdn.microsoft.com/en-us/lib...(v=vs.85).aspx

[kodo]

Merci beaucoup pour vos retours.
Après une discussion avec le client, il est sûr et insiste sur ce qu'il demande.
Je vais travailler avec la bibliothèque Jsch (Java Secure Channel), elle permet d'exécuter des commandes shel sur un serveur distant via ssh.
Voici le code que j'ai écrit, il marche très bien

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
public void executerScript(String script) {
		List<String> result = new ArrayList<String>();
		try {
			JSch jsch = new JSch();
			Session session = jsch.getSession(USER, ADRESSE);
			session.setConfig("StrictHostKeyChecking", "no");
			session.setPassword(PASSWORD);
			session.connect();
			ChannelExec channelExec = (ChannelExec) session.openChannel("exec");
			InputStream in = channelExec.getInputStream();
			channelExec.setCommand("sh " + script);
			channelExec.connect();
			BufferedReader reader = new BufferedReader(new InputStreamReader(in));
			String line;
			while ((line = reader.readLine()) != null){
				result.add(line);
			}
			channelExec.disconnect();
			session.disconnect();
		} catch (Exception e) {
			System.out.println(e);
		}
		System.out.println(result);
	}

[tchize_]

Ha tu veux dire exécutée de serveur web à serveur ssh? On avait compris que tu voulais exécuter ça sur le poste client du browser

Alors du point de vue sécurité:

tu n'utilise pas de mot de passe comme tu le fais mais une clé SSH. Ca permet d'attribuer une clé à ton serveur web et éviter que tous les services doivent être à changer si le mot de passe se perd dans la nature.

Je ne passerais pas un script en paramètre de la commande. J'opterai plutôt pour une enum qui contient les scripts possible. Ca évite le risque que quelqu'un injecte n'importe quoi comme script. Tu deviens responsable de ce qui se passe avec ce compte alors autant que ce soit propre.

[kodo]

Merci beaucoup tchize_ pour ton retour