Vilain rapport

[POE]

il y a 2 minutes, jubal a dit :

 

Ça se fait déjà de manière automatique avec des machines virtuelles. C'est pour ça que pas mal de virus/malware/backdoor essayent de voir si ils sont dans une machine virtuelle, et si ils le sont ils ne s'activent pas

 

Héhé, je ne savais pas, mais je me doutais un peu, c'est pour ça que j'avais mis 3 petits points à la fin de mon commentaire !

Et comment on reconnait une machine virtuelle d'une autre machine, alors ?

[jubal]

5 minutes ago, POE said:

 

Héhé, je ne savais pas, mais je me doutais un peu, c'est pour ça que j'avais mis 3 petits points à la fin de mon commentaire !

Et comment on reconnait une machine virtuelle d'une autre machine, alors ?

 

Il y a plusieurs méthodes, certaine très simple comme regarder l'adresse ethernet de la machine (ce qui donne le vendeur de la carte réseau, qui peut être vmware par exemple), d'autres plus compliquées.

[Rübezahl]

la liste

https://www.openfoundry.org/en/resourcecatalog/Security/Source-Code-Audit

comporte quand même une quinzaine d'outils.

Doit quand même y en avoir 1 ou 2 qui s'approchent de l'objectif (?)

 

Sinon, je me pondrais éventuellement un petit qq chose en awk ou R,

au moins juste pour repérer l'usage d'instructions suspectes.

[cedric.org]

On 10/04/2018 at 3:35 PM, Rübezahl said:

Le checksum c'est très bien.

Mais je pense à des saletés introduites volontairement, avant, dans un code open.

Planqué discretos parmi 5000 fichiers.

 

Petits embryons de piste :

* https://en.wikipedia.org/wiki/Code_audit

* https://www.openfoundry.org/en/resourcecatalog/Security/Source-Code-Audit

 

... ça doit forcément exister.

Javais bossé avec des outils d'analyse statique comme Frama-C du CEA, qui vont surtout te trouver une bonne partie des failles style buffer-overflow potentielles.

[jubal]

A mon avis les outils automatiques marchent mieux qu'auditer le code manuellement, sauf a y passer beaucoup de temps et avoir un cerveau bizarre (pour trouver les bugs bizarres que l’outil trouvera pas), mais faut tester. Si tu en trouve un bien ça m’intéresse

Sinon il y a le fuzzing mais pareil ça prend du temps et c'est un art.

 

 

[Rincevent]

Il y a 8 heures, jubal a dit :

A mon avis les outils automatiques marchent mieux qu'auditer le code manuellement

Pour les trous qui représentent 80 % du nombre total, sans doute (disons que ça en trouvera la moitié). Mais ça ne peut pas les trouver tous, et évidemment ça passera complètement à côté des 20 % rares ou complexes. Mais pour une première passe dont on sait qu'elle est très loin d'être complète, c'est une idée.

[Rübezahl]

Il y a 20 heures, jubal a dit :

A mon avis les outils automatiques marchent mieux qu'auditer le code manuellement,

ça me parait assez évident,

et sans compter les codes dont les releases sortent à cadence élevée.

[Rübezahl]

https://techcrunch.com/2018/04/26/deepcode-cleans-your-code-with-the-power-of-ai/