! Wanadoo et Spip !

Forban · Juin 29, 2004, 8:35

Wanadoo propose désormais (enfin !) l'option pages persos premium qui permet
d'avoir accès au langage php et à une base de données mysql administrée par
phpmyadmin. Classique quoi. Donc on se dit qu'on va enfin pouvoir héberger
un site Spip avec Wanadoo.
Mais quand on lit en détail l'offre on s'apercoit que certaines fonctions
php sont bloquées (voir ci-dessous) :

Pour des raisons de sécurité et de charge d'exploitation, Wanadoo a décidé
de supprimer l'accès à certaines fonctions PHP sur les hébergements Premium.
En voici la liste : checkdnsrr, chgrp, chmod, chown, diskfreespace, dl,
exec, fsockopen, ftp_connect, get_current_user, gethostbyaddr,
gethostbyname, gethostbynamel, getmxrr, getmypid, getmyuid, imap_mail,
ini_alter, ini_restore, ini_set, leak, link, listen, mb_send_mail,
mysql_list_dbs, openlog, passthru, pfsockopen, php_uname, popen, proc_open,
putenv, realpath, rmdir, sem_acquire, sem_get, set_time_limit, shm_attach,
shmop_open, socket_listen, syslog, system, tmpfile.
NB : les fonctions mysql_connect et mysql_pconnect ont été modifiées. Leurs
3 premiers paramètres, à savoir le nom (ou l'IP) du serveur, le login et le
mot de passe ne sont pas obligatoires.

Ma question est donc : Spip peut-il tourner malgré cela ? Quelqu'un a t'il
déjà essayé ?

Forban

615beda9217b323297ed · Juin 29, 2004, 8:54

Le Tue 29/06/2004 à 10:35, Forban a écrit :

Pour des raisons de sécurité et de charge d'exploitation, Wanadoo a décidé
de supprimer l'accès à certaines fonctions PHP sur les hébergements Premium.
En voici la liste : [...] chmod [...] mysql_list_dbs [...]
NB : les fonctions mysql_connect et mysql_pconnect ont été modifiées. Leurs
3 premiers paramètres, à savoir le nom (ou l'IP) du serveur, le login et le
mot de passe ne sont pas obligatoires.

En gros, c'est un safe_mode adapté ...

Ma question est donc : Spip peut-il tourner malgré cela ?

A priori oui :
- mysql_list_dbs => le setup va cafouiller, mais on peut se passer de
cette étape. D'après ce que je viens de regarder dans le code de
install.php3, si cet appel pète, il l'ignore, ça devrait donc passer.

- chmod => il y en a quelques uns, mais tous précédés d'un @ => l'erreur
sera ignorée , et on peut espérer que wanadoo met d'office des droits
suffisants

- mysql_connect => "pas obligatoire" mais on peut les mettre quand même
je suppose, donc ça devrait passer.

- getmypid => un grep sauvage m'a appris qu'il en traine quelques uns
  pour générer des noms de fichiers temporaires apparemment.
    Ils sont précédés de @, donc ça pètera pas, mais ça risque
  d'entrainer des conflits dans des cas d'accès simultanés (donc durs à
  reproduire et débuguer).
    Faudrait peut être se baser sur un aléa mis en session pour éviter
  ça. Pour faire ça bien, il faudrait avoir une fonction uniqueId() qui
  retourne getmypid quand il est dispo, sinon, un aléa de session.

    De toutes façons, ce serait à faire, car sur un apache2 sous
  solaris, je crois que tous les threads ont le même pid, et il y
  aura donc problème.

En conclusion, le plus simple, c'est d'essayer

À+, Pif.

615beda9217b323297ed · Juin 29, 2004, 8:57

À propos de fournisseurs d'accès, est-ce que quelqu'un sait s'il y a
un accès mysql sur les pages perso de cegetel ?
Il y a un bout de truc qui en cause quand on se logue en ssh sur son
compte, mais je n'ai aucune référence de base de donnée et le support à
l'air assez muet là dessus.

Du coup, je ne peux pas y poser de spip ...

À+, Pif.

3c6f25d28f8fd21b2adb · Juin 29, 2004, 9:13

Oui, mais c'est pas gratuit (9€/mois) apparemment. Il vaut mieux aller chez des vrais pros de l'hébergement, et c'est pas plus cher.

BMR

Christian Lefebvre wrote:

Le Tue 29/06/2004 à 10:35, Forban a écrit :

Pour des raisons de sécurité et de charge d'exploitation, Wanadoo a décidé
de supprimer l'accès à certaines fonctions PHP sur les hébergements Premium.
En voici la liste : [...] chmod [...] mysql_list_dbs [...]
NB : les fonctions mysql_connect et mysql_pconnect ont été modifiées. Leurs
3 premiers paramètres, à savoir le nom (ou l'IP) du serveur, le login et le
mot de passe ne sont pas obligatoires.

En gros, c'est un safe_mode adapté ...

Ma question est donc : Spip peut-il tourner malgré cela ?

A priori oui :
- mysql_list_dbs => le setup va cafouiller, mais on peut se passer de
  cette étape. D'après ce que je viens de regarder dans le code de
  install.php3, si cet appel pète, il l'ignore, ça devrait donc passer.

- chmod => il y en a quelques uns, mais tous précédés d'un @ => l'erreur
  sera ignorée , et on peut espérer que wanadoo met d'office des droits
  suffisants

- mysql_connect => "pas obligatoire" mais on peut les mettre quand même
  je suppose, donc ça devrait passer.

- getmypid => un grep sauvage m'a appris qu'il en traine quelques uns
  pour générer des noms de fichiers temporaires apparemment.
    Ils sont précédés de @, donc ça pètera pas, mais ça risque
  d'entrainer des conflits dans des cas d'accès simultanés (donc durs à
  reproduire et débuguer).
    Faudrait peut être se baser sur un aléa mis en session pour éviter
  ça. Pour faire ça bien, il faudrait avoir une fonction uniqueId() qui
  retourne getmypid quand il est dispo, sinon, un aléa de session.

    De toutes façons, ce serait à faire, car sur un apache2 sous
  solaris, je crois que tous les threads ont le même pid, et il y
  aura donc problème.

  En conclusion, le plus simple, c'est d'essayer

À+, Pif.

_______________________________________________
liste spip
spip@rezo.net - désabonnement : spip-off@rezo.net
Infos et archives : http://listes.rezo.net/mailman/listinfo/spip
Documentation de SPIP : http://www.spip.net/
irc://irc.freenode.net/spip

Guillaume1 · Juin 29, 2004, 12:07

BMR a écrit :

Oui, mais c'est pas gratuit (9€/mois) apparemment. Il vaut mieux aller chez des vrais pros de l'hébergement, et c'est pas plus cher.

BMR

Bonjour

Pourrais-tu donner une liste de ces pros de l'hébergement ? Ca m'intéresse !

Guillaume

Olivier4 · Juin 29, 2004, 12:51

Salut,

Effectivement, vu le tarif, il vaut mieux s'adresser à des prestataires plus compétitifs.

Une page sur les hébergeurs compatibles est disponible sur le WiKi de Spip-Contrib :
http://www.spip-contrib.net/spikini/index.php?wiki=ListeDesHebergeurs

A toi de comparer.

A+

Guillaume a écrit :

BMR a écrit :

Oui, mais c'est pas gratuit (9€/mois) apparemment. Il vaut mieux aller chez des vrais pros de l'hébergement, et c'est pas plus cher.

BMR

Bonjour

Pourrais-tu donner une liste de ces pros de l'hébergement ? Ca m'intéresse !

Guillaume

Forban · Juin 29, 2004, 2:12

Certes, mais certaines personnes se laisseront sans doute tenter si ils ont
déjà Wanadoo comme FAI.
Et dans l'option je crois aussi qu'il y a des services comme un chat, un
forum etc.
Maintenant faut voir la qualité des scripts de Wanadoo parce que leur bon
vieux compteur de visites c'est quand même pas Bysance haha

Forban

----

"BMR" :

Oui, mais c'est pas gratuit (9€/mois) apparemment. Il vaut mieux aller
chez des vrais pros de l'hébergement, et c'est pas plus cher.

bermudos · Juin 29, 2004, 4:32

On Tue, Jun 29, 2004 at 10:57:12AM +0200, Christian Lefebvre wrote:

  À propos de fournisseurs d'accès, est-ce que quelqu'un sait s'il y a
un accès mysql sur les pages perso de cegetel ?
  Il y a un bout de truc qui en cause quand on se logue en ssh sur son
compte, mais je n'ai aucune référence de base de donnée et le support à
l'air assez muet là dessus.

  Du coup, je ne peux pas y poser de spip ...

elle est bizarre ta question. Tu dis que tu as un accès ssh. Peux tu
nous en dire plus, une copie d'écran par exemple ? Il est tellement
facile de voir dans un phpinfo si il y a le support mysql dans leur
serveur de fichiers web, peut être y a t'il php et donc commettre ce
crime d'insérer <? phpinfo();?> dans une page dont l'extension est php.

En bash: ps ax, même en tant qu'utilisateur, permet de remonter les
informations des processus qui tournent sur la machine qui exécute ton
shell. Mais j'y pense, c'est un fournisseur d'accès, il n'y a rien à
voir avec de l'hébergement, ça. De la fourniture d'accès, tout le monde
peut le faire avec un vpn. L'hébergement, c'est pas pareil; faut vider
les poubelles, relever les boites à lettre, récolter les etrennes (sous
la forme d'engueulades). C'est infernal, et souvent mal geré. autant
s'héberger soi même si on a le cable ou une subscriber line sur cegetel.

Le top, est d'avoir un ordi avec une patte sur l'internet sans rien
comprendre, de faire venir un informaticien au chomage chez toi, le
laisser créer un compte et tu le revois plus. Il administre tout à
distance, au noir pour pas cher. Tu lui envoies un cheque comme pour le
loyer. Tout le monde est content. Si tu payes pas, il formatte et si tu
n'es pas content, tu effaces l'account. Il te paye l'électricité des
ordis et la ligne, si tu veux. Tu sais les contrats de ce type sont
rares, donc pour lui comme pour toi, il y a tout à gagner d'inclure des
clauses qui de toutes façons se payent.

Reste à trouver la perle rare en sachant qu'humainement, il ne
s'occupera que de 8 sites en tout (1 par heure et par jour de travail
d'ouvrier)

Amha, si j'étais chomeur avec 8 heures de travail par jour, je
demanderai environ 300 euros par mois par «hébergement» de ce type.
C'est pas cher car c'est environ le tarif de la demi heure pour remonter
une machine de production.

gilles

615beda9217b323297ed · Juin 30, 2004, 7:15

Le Tue 29/06/2004 à 18:32, gilles a écrit :

On Tue, Jun 29, 2004 at 10:57:12AM +0200, Christian Lefebvre wrote:
> À propos de fournisseurs d'accès, est-ce que quelqu'un sait s'il y a
> un accès mysql sur les pages perso de cegetel ?

elle est bizarre ta question.

Non, c'est cegetel qui est bizarre

Tu dis que tu as un accès ssh. Peux tu
nous en dire plus, une copie d'écran par exemple ? Il est tellement
facile de voir dans un phpinfo si il y a le support mysql dans leur
serveur de fichiers web, peut être y a t'il php et donc commettre ce
crime d'insérer <? phpinfo();?> dans une page dont l'extension est php.

  Je la refais en plus clair, car c'est vrai que j'étais pas tellement
entré dans les détails :
  Depuis quelques mois, j'ai un accès adsl chez cegetel. Dans le
paquet, il y a également une adresse mail et un espace perso de 50Mo
je crois, avec php.
  Pour alimenter cet espace, il y a un accès ftp (classique) et
(beaucoup plus rare dans ce niveau de prestation) un accès ssh qui
permet de se connecter sur une pseudo machine linux sur laquelle
on peut faire ls, cd / et même cvs et crontab.

Je sais plus comment ça s'appelle, mais c'est un produit linux qui
permet de partager une machine en plusieurs machines "virtuelles"
avec chacune son propre jeu de logins, processus et compagnie.
Il n'y a que quelques trucs de restreints comme /proc.

Cet accès permet d'accéder à une partition contenant mes données web
mais ce n'est pas là que tourne le serveur web, ni le mysql.

Mon problème c'est que le "issue" (le message affiché au login)
explique comment accéder à mysql, mais sans préciser le nom du
serveur ni mon login/password mysql.

Donc oui php a l'extension mysql, mais je ne sais pas où est la
base de données
(d'un coup, j'me dit que c'est p'tet configuré d'office dans le
php.ini ! faudra que je tente une paire de getIniVar pour voir ...)

Mais j'y pense, c'est un fournisseur d'accès, il n'y a rien à
voir avec de l'hébergement, ça.

Non, mais ils font souvent les deux. C'est le porte clé, comme chez
free

De la fourniture d'accès, tout le monde
peut le faire avec un vpn. L'hébergement, c'est pas pareil; faut vider
les poubelles, relever les boites à lettre, récolter les etrennes (sous
la forme d'engueulades). C'est infernal, et souvent mal geré. autant
s'héberger soi même si on a le cable ou une subscriber line sur cegetel.

ouais ça c'est vite dit : s'héberger soit même ça veut dire une
machine qui tourne 24/7, un minimum de config firewall, un débit
montant un peu plus conséquent qu'un adsl de base, et surtout une
machine qui fait plus que ça.
Moi, mon pc, il est allumé en moyenne 1 heure ou 2 par jour

À+, Pif.

bermudos · Juin 30, 2004, 4:42

On Wed, Jun 30, 2004 at 09:15:28AM +0200, Christian Lefebvre wrote:

Le Tue 29/06/2004 à 18:32, gilles a écrit :
> On Tue, Jun 29, 2004 at 10:57:12AM +0200, Christian Lefebvre wrote:
> > À propos de fournisseurs d'accès, est-ce que quelqu'un sait s'il y a
> > un accès mysql sur les pages perso de cegetel ?

> elle est bizarre ta question.
Non, c'est cegetel qui est bizarre

Ok, je te remercie de ces détails. Moi, je l'aimais bien ta question
bizarre, mais comme tu dis que c'est cegetel, j'en suis tout retourné et
suis fort dépité de ne plus avoir à réfléchir une question que je
trouvais bizarre.

Donc, mysql n'est pas sur ce frontal et son adresse ne t'es pas fournie.

Normalement avec ton shell, tu dois pouvoir y deposer un binaire et le
rendre éxecutable. Demandes ifconfig pour avoir l'adresse de ton réseau
et du netmask qui va avec. Ici par exemple, j'ai 192.168.0.0 en
255.255.255.0, ce qui signifie que j'ai 24 bits sur 32 pour le netmask,
d'où une adresse réseau qui est de la forme 192.168.0.0/24

encquis de ces valeurs, tu les donnes en pature à nmap pour qu'il te
cartographie le réseau (qui semble être interne, apparemment). Comme tu
n'es pas root; ifconfig est /sbin/ifconfig

Tu poses le binaire de nmap et tu le rends chmod +x nmap et

nmap -sP 192.168.0.0/24

Il te remonte les adresses qui sont up sur le réseau précedemment décrit.

Starting nmap V. 2.54BETA31 ( www.insecure.org/nmap/ )
Host (192.168.0.0) seems to be a subnet broadcast address (returned 1 extra pings).
Host theed.bermude.dat (192.168.0.10) appears to be up.
Host depht.bermude.dat (192.168.0.13) appears to be up.
Host (192.168.0.255) seems to be a subnet broadcast address (returned 1 extra pings).

Nmap run completed -- 256 IP addresses (2 hosts up) scanned in 9 seconds

Une par une, tu les cartographie à leur tour.

nmap -sS 192.168.0.1 -P0

-sS pour juste le syn (un peu plus discret)
-P0 pour pas les repinguer, c'est déjà fait

Starting nmap V. 2.54BETA31 ( www.insecure.org/nmap/ )
Interesting ports on depht.bermude.dat (192.168.0.13):
(The 1540 ports scanned but not shown below are in state: closed)
Port State Service
21/tcp open ftp
22/tcp open ssh
23/tcp open telnet
25/tcp open smtp
53/tcp open domain
80/tcp open http
110/tcp open pop-3
111/tcp open sunrpc
139/tcp open netbios-ssn
389/tcp open ldap
617/tcp open unknown
901/tcp open samba-swat
1024/tcp open kdm
3306/tcp open mysql

et hop ----------------^ il est là.

Sinon, encore plus discret tu peux te ballader dans les noms avec
nslookup. quoi que, ls -d n'est pas valable sur tous les dns donc ça
risque d'être coton. Essaie sql.cegetel.fr pourquoi pas

gilles