Un article de #@noted.lol https://noted.lol/self-hosted-roundup-34/
fait récemment le tour des #alternativeto :
/borg/ (souvent cité sur des sites.forums.blogs) me parait une bonne piste
: https://www.borgbackup.org/?ref=noted

Duplicati

Free backup software to store backups online with strong encryption. Works with FTP, SSH, WebDAV, OneDrive, Amazon S3, Google Drive and many others.

Faire des sauvegardes est mère de toutes les vertus !
Hacked ? Restore from last week Backup !

Est plutôt pensé pour de la sauvegarde de HDD en local, on peut faire monter le contenu d'un serveur (FTP) en local... et en copier le contenu.

installation ( docker )

• https://domopi.eu/duplicati-un-logiciel-de-sauvegarde-universel/ #français
  -> http://localhost:8200

MAIS ne prend en charge que les dossiers LOCAUX (pas FTP/SFTP/SSH)
(une honte !) Du coup, il faut monter son serveur distant en local(host)
...

DIRECT try...

FTP ( ncftp )

• https://www.filestash.app/ovh-ftp.html (*ndbp)
• https://nguoiquynhon.blogspot.com/2009/08/how-to-backup-to-ftp-with-ncftp.html

Monter le contenu d'un serveur ( curlftpfs + Fuse )

--> /!\ Buggy/Laggy #error_échec <--

Final use ( service.systemd : root ready )

• https://github.com/systemd/systemd/issues/1053#issuecomment-921456374

• https://gaborhargitai.hu/mount-remote-ftp-server-folder-as-local-directory-on-linux-ubuntu-debian-raspberry-raspbian/

• https://doc.ubuntu-fr.org/curlftpfs ( #français )

• https://wiki.archlinux.org/title/CurlFtpFS

• https://linuxconfig.org/mount-remote-ftp-directory-host-locally-into-linux-filesystem ( détailed )

Using Curl profiles

• https://everything.curl.dev/usingcurl/netrc

Rclone

( ma solution de cœur, avec un GUI/WebGUI )
( ... but, it's not working with my hoster, cant figure out why )
( mon IP était... blacklistée ! trop de requêtes avec curlftpfs )

• https://rclone.org <3
• https://github.com/rclone/rclone-webui-react

fonctionne avec moult protocoles / plateformes !

• https://rclone.org/ftp/

Après configuration ( rclone config )

Lister

rclone lsd conf_name:
rclone lsd conf_name:Path/to/folder

Sync ( du serveur -> localhost ) :

TESTS

rclone sync --interactive conf_name:Path/folder /local/folder/
rclone sync conf_name:Path/folder /local/folder/ --dry-run --verbose

GO

rclone sync conf_name:Path/folder /local/folder/ --verbose

*) /Filestash/ est pas mal pour se connecter depuis le web à un serveur !
( bon remplaçant de web2ftp ) --- avec une offre gratuite en self_host !

• https://www.filestash.app

Complémentaire d'un /Filebrowser/
qui, lui, affiche vos dossiers locaux dans votre Navigateur !
( avec une authentification "normale" : non s.FTP )
--> Supprimer/déplacer/renommer (bien sûr)
--> Possibilité de liens de partage (mdp/non)
--> Upload (même gros fichiers)

• https://filebrowser.org
• https://file.bonnebulle.xyz <3

Tuto source :

• https://bobcares.com/blog/filebrowser-installation-in-docker/

.filebrowser.json

{
"port": 80,
"baseURL": "",
"address": "",
"log": "stdout",
"database": "/database.db",
"root": "/srv"
}

Ma commande finale ( pour un user www-data )

docker run --name filebrowser -d \
-v /mon_dossier_racine/Fichiers/:/srv \
-v /mon_dossier_config/filebrowser.db:/database.db \
-v /mon_dossier_config/.filebrowser.json:/.filebrowser.json \
--user $(id -u www-data):$(id -g www-data) \
--restart=always \
-p PORTDISPO:80 \
filebrowser/filebrowser

https://hub.docker.com/r/filebrowser/filebrowser
https://github.com/filebrowser/filebrowser

Si vous cherchez un hébergeur pour votre association ou à échelle humaine... encore des ami.e.s des #@CHATONS

"Nebulae, un hébergeur à votre échelle respectueux de votre vie privée. Reprenez le contrôle sur vos données !"

" Nebulae
Reprenez le contrôle sur vos données !
Un hébergeur respectueux de votre vie privée et à taille humaine.

Notre action
Nebulae est une association ayant pour mission de fournir des services en ligne, décentralisés et respectueux de la vie privée de ses utilisateur·trice·s. A l’image des AMAP pour le monde de l’agriculture, Nebulae milite pour un partenariat éthique entre un groupe d’utilisateurs et un fournisseur de services numériques. A ce titre, Nebulae fait partie du réseau #@CHATONS . "

Ça donnait ça ( sans la moindre /obfuscation/ )
https://vincent-bonnefille.fr/index_hacked.html

Un message s'affiche alors sur la page d'accueil de mon site principale
(non encore auto-hébergé) ::
Dont un script est chargé sur le disque dur de :
http://mxian.wapgem.com

Un fichier .htaccess intégré au dossier contenant le logiciel intrusif indique :
#Coded By Sole Sad & Invisible
les cgi-script sont en .alfa
le tout profite d'une faille eval()
et à vrai dire je pige pas tout.

La page hackée avec un index.html de remplacement indiquait d'aller voir les logs...
Check The Security Of Your System Please
Ce que j'ai fais, l'activité accrue sur un dossier spécifique (et son formulaire) m'ont permis de trouver la faille facilement...

Formulaires : portes ouvertes

Un formulaire, ces petites boites blanches qui attendent du texte de la part du visiteur.visiteuse (bot/humain.e) permet d'envoyer et d’fexécuter du code sur le serveur directement (qui est un ordinateur capable de lancer.activer.exécuter des programmes et donc d'ajouter/supprimer/éditer des fichiers en fonctions des droits/permissions qui sont accordées).
C'est par là que le code a été exécuté.

Hack : usage détourné

Au lieu d'envoyer une image via cette page dédiée, du code non "escapé" a été exécuté. ( "escape", ça veut dire "faire sortir, échapper". Échapper du code ça consiste à convertir les caractères spéciaux qui servent à écrire du code, en autre chose : des caractères inoffensifs : à faire qu'ils s'affichent seulement, comme {ces} caractères, des lettres, des signes non interprétés comme "faisant quelque chose".

( -\:\?()\/... sont {là} escaped . \<> aussi, sinon ils seraient "lus"interprétés par le navigateur comme contenant du code à exécuter ) #langage_progra
: Des caractères qui servent à écrire du code exécutable { c'est à dire qui par son langage produit des effets } en caractères qui ne contiennent pas d'ordres de commandement sur la machine.

Là le langage final interprété dans le code ajouté à mon site semble écrit du Python ...

Se faire cambrioler

Le sentiment est toujours le même suite à un "viol de propriété" ou de domaine... on fouille les dossiers, on cherche les traces de la présence et on se sent pas très bien... mais on apprend.
Et le fait que tout soit explicite, transparent, invitant à regarder le #log sonne comme un avertissement. L'acte d'un.d'une White_hat ?

En vrai je les remercie. Ca m'a mis la faille sous le nez et j'ai fais un peu de ménage.

Une faille de débutant

En cause de cette faille, une mauvaise gestion des permissions de fichiers (en 777)
oui ... j'avoue... et un formulaire mal sécurisé permettant l'envoi du code malveillant, son installation (avant une possible activité.usage malfaisant)
L'intrusion, le point d'entrée, à été trouvé (et exploité) à l'intérieur d'une page web accessible. Elle faisait parti d'un projet que je n'ai pas maintenu (et sécurisé comme il faut à l'époque).

Un bout de code, des pages obsolètes pour moi, oubliées sur un coin de serveur... Or, même inactif.inutilisé, un espace reste un espace : l'automatisation de recherche de failles se soucis peu des affectes et volontés : les moyens sont les moyens.
C'est moi dans ma tête qui y cherche du sens, une conspiration, un geste personnel. Un contexte explicatif... ( et j'en ai trouvé un : )

Sys.admin, un métier (pas le mien)

FunFact ... qui ne peut être tout à fait une coïncidence... je passais aujourd'hui un entretient pour des formations de Sys Admin... c'était tout à fait de circonstance.
Le Quiz que j'ai passé m'a donné une note honorable mais j'ai bien compris que je n'avais pas les qualifications d'informaticien BAC+2.
On y parlait adresses IP, Masques de sous-réseau, machines virtuelles...
en citant beaucoup Windows (8.1) comme référence/environnement...

Les termes du Quiz que j'ai recherché :
Hyperviseur 2012 / VHDX / VHD
SCVMM
GPO Starter
DCPROMO
Fôret Active Directory
Serveur AD DS
NTFS / SATA 3
Base SAM
FTP / TFTP
Couches OSI
...

via : https://www.centreforthestudyof.net/?p=6029 #@CSNI
{ today #2021 }

" The project Critical Tracing and The Post-Photographic Image explores how images move across infrastructures. In this context, we propose a two-days workshop to approach the digital image as a transactional device that we can use to trace the infrastructure through which it circulates. "

" In 20th century photographic history and criticism the notion of trace has consistently been associated with the medium's mechanical reproducibility and its indexical relationship to reality. Yet, with the ubiquitous adoption of digital technology, photography has moved away from the singularity of the analogue medium towards a networked technology with a computational structure. Hence the question arises: How can the concept of trace and the act of tracing be reframed to account for images' algorithmic structure and their circulatory patterns amongst different contexts of reception? "

" What are the aesthetic and political implications of foregrounding such notions when rethinking parameters of production, dissemination and interpretation of networked images ? "

" Once images ceased to be perceived primarily as visual surfaces but as a vectors of relations, the notion of infrastructure gains importance, as an essential concept for framing image practices as inseparable from their materiality. Our objective is to study how infrastructure permeates our concepts and ideas about the post-photographic image. We believe that infrastructure cannot be taken for granted and tracing requires different strategies according to the materialities through which images circulate under different geopolitical and socio-technical conditions. "

Via Telegram

@Nestor_Siré in the audiance-intervenant #<3

@Andrew_Dewdney

@Anaïs_Bloch ( #réparation_maintenance #périphériques_devices #hack )

https://www.hesge.ch/head/projet/mobile-repair-cultures-reparation-informelle-linnovation-silencieuse-cas-des-smartphones

Coucou
Après l'exposition avec le CAG+
j'ai trouvé un bug sur ma version web :)
sur le #projet_perso #chat_chouquette

Et ce bug : c'est moi
j'avais modifié une fonction de base
ca faisait que quand je modifiais mon code (page index.php) rien n'était pris en compte au chargement de la dite page ( par mon #navigateur_browser et autres visiteurs )
J'ai d'abord crié au complot
Puis au cache de mon navigateur de se vider
À mon hébergeur et serveur FTP de réagir...
J'ai cherché.
...
Et puis j'ai trouvé.
En indiquant l'adresse complete du projet avec index.php dans l'URL (adresse web) ça marchait.
sans je retombais sur une chouquette malade, des bugs
ET cela peu importe le chouquette (le sous dossier de projet)
RSI / Solidaires / Darknets
Toutes ces pages me renvoyaient le même bug ...
...
C'est comme ca que j'ai compris...
Comme cela que je me suis rapellé que par soucis de gain de temps...
J'avais demandé au serveur d'agir tout autrement que comme il devrait par défaut
Que plutôt que de charger le fichier "index" il en charge un autre...
et cela pour tous les sous-dossiers...
...
cut, détail, explications
...
Bref
à faire simple on finit par tout compliquer...
surtout quand on ne documente pas son code.

Suite du log ::

J'ai fini ma journée à mettre à jour le system d'upload de fichiers
(de mes chouquettes) (j'ai pas fini) (maintenant si)
(j'ai décentralisé les pages d'upload/admin pour n'en avoir qu'une à modifier)
(j'ai par contre laissé les chouquettes.index charger leur index.par_défaut)

Ajouts
Restitution des dossiers (par défaut)
Appel des dossier par parameters (?folder=....)
( Finalement non ... pose problème pour une arborescence avec sous-dossiers )
( = choisi un mix' utilisant #htaccess
/dossier/ > index du dossier ... normal
/up.php (fichier vide) > upload.php (centralisé.core) )

Ajout d'un "switch" entre les dossiers listés
Ajout d'une fonction de "lock" sur certains dossiers
MàJ des chemins (changés en centralisant le fichier.index.admin)
Demo
https://vincent-bonnefille.fr/chat-chouquette/RSI/fichiers/01_MOVE_others/up.php

BONUS
Sur ces questions de design/fonction par défaut...
je conseille ce super article (et super site) qui questionne l'usage et de création collective au sujet de l'interface #ftp .. #<3 #! #proto #technique_article

@Etienne_Cliquet
http://003.directory/2001_Esthetique-par-Defaut/ walla #@aR
<- #.dead --> https://web.archive.org/web/20220706050032/http://003.directory/2001_Esthetique-par-Defaut/
A motivé l'écriture de ce petit log/retour d'expérience perso...

"Firefox a annoncé un nouveau partenariat avec NextDNS pour fournir aux utilisateurs de Firefox des services privés et sécurisés de DNS (Domain Name System) via son programme Trusted Recursive Resolver."

... note que Cloudflare est de la partie 1.1.1... lire à ce sujet https://www.nextinpact.com/article/30142/108783-dns-over-https-pour-stephane-bortzmeyer-diable-est-dans-details

Youpi un nouveau DNS sécurisant avec filtres anti-pubs/trakers/porn...
avec du DoH / DoT pour crypter ce qui passe dans les tuyaux
( au niveau du DNS qui convertit mon adresse URL lisible et mémorisable,
un nom de domaine, en adresse IP unique sur le réseau
attribuée à une machine_serveur et ses données (pages du site demandé) )

Je cherchais un DNS avec filtre anti-pub intégré (à la place du bon Adaway) #ads_tracking pour mettre sur mon Android à l'aide de Nebulo 💖

... et NextDNS fait la pub pour handshake dont leur service propose de résoudre (nous permettant d'y acéder) (joie)
... NextDNS qui est donc un autre DNS décentralisé prométant monts et merveille avec son token magique ... pour moi c'est, encore une fois, la possiblité d'accéder à des lieux autrement impossibles. Des heures de bidouille qui s'ouvrent à moi, de compromis (temporaires), d'acharnement numérique. #todo
Vennant concurencer le DNS de Google, CloudFlare, Quad9...
Des services qui ont ainsi acces à nos requêtes DNS...

L'attribution d'adresses URL, de noms de domaines est centrale dans le dévellopement d'une existance en ligne.
C'est l'un des derniers endroits par lesquels je suis dépendant d'une hébergeur comme OVH pour acheter et renouveller ma propriété sur le nom de domaine "vincent-bonnefille.fr". ( un frien dans mon projet #self_host_hébergement )
Je dois passer par un Registar.
La plupart de "darknets" viennent avec une modalité de résolution de leurs adresses URL spécifiquement accessibles par leur protocol. Des TLD exotiques... comme autant de portes à pousser.

Lokinet .loki
Tor .onion
i2p .eepsite
data .dat
les dht: de #dn_ScuttleButt ...
à partir de l'identification unique sur le réseau de vortre machine une adresse lui est attribuée et elle devient ainsi joignable (ce qui lui permet d'afficher un site web ou tout autre chose)

Bref un nouveau #dns c'est un retour aux sources et à mes premières lectures de recherche
(intéressé au perfectionement technique par la critique de l'existant, dépassé, perfectible...
autant que par les processus de crétaion eux même { à l'origine de normes informatiques et d'autre nature })
...
parmis ces lectures, un petit bonbon :
Cooking With Onions: Names for your onions | Tor Blog #2017 💖
https://blog.torproject.org/cooking-onions-names-your-onions
https://liens.vincent-bonnefille.fr/?geTQFQ #référence
...
Hadshake, m'a fait pensé à :
NOIA-net par Syntropynet (qui se présente comme une solution blockchaine pour les BGP (qui sevent à trouver le chemin le plus court entre deux machines en réseau, via Internet))
https://liens.vincent-bonnefille.fr/?u2e5KA

"Handshake" #glossaire_notion
https://www.encirca.com/your-guide-to-handshake-crypto/
https://medium.com/tokendaily/handshake-ens-and-decentralized-naming-services-explained-2e69a1ca1313
... littéralement "serrage de main" ou "établissement d'une liaison", initie la rencontre entre deux machnines wiki, c'est le cas lors d'une connexion #ftp ou encore #ssh ...
...
#fun : "Epic Handshake" avec Arnold Schwarzenegger dans Predator de 1987.
...
/HandShake/ c'est aussi :
" Decentralized naming and certificate authority
An experimental peer-to-peer root naming system. " #P2P #DNS

Quelles sont les options ?
Trouver un hébergement et un nom de domaine
Suggestions pour trouver hébergement et domaines
Utiliser un outil en ligne comme GitHub
Utiliser un EDI web tel que Thimble*
Publier via GitHub
Lectures pour approfondir dont
https://www.codecademy.com/learn/deploy-a-website

• migré vers http://glitch.me/
  JSFiddle
  JSBin
  CodePen

/Hacking Related Documentaries x265/
Documentaires sur-autour du hacking
( direct depuis un site de #référence en la matière )