Java

Devinette Serialisation

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Devinette Serialisation

sylargh

Hello,

j ai un tp avec plusieurs exercice par rapport aux attaques de securite en JAVA,
Parmis ceux la, il y en a un qui m embête beaucoup,

Voici 3 classes

Code :

package core;
import java.io.ByteArrayOutputStream;
import java.io.IOException;
import java.io.ObjectOutputStream;
import java.io.PipedOutputStream;
public class Execice1 implements Runnable{
public void run(){
Voiture v= new Voiture();
//le joueur joue et essaie d'acélérer autant qu'il peut.
v.accelerer(17);
//envoyer sa voiture au serveur.
PipedOutputStream pipedOut;
try {
pipedOut = new PipedOutputStream(Jeu.pipedIn);
Jeu.pipedOut=pipedOut;
//cré l'objet sérialisé
ByteArrayOutputStream baos = new ByteArrayOutputStream();
ObjectOutputStream oos2 = new ObjectOutputStream( baos );
oos2.writeObject(v); //<-crée l'Objet serialisé
oos2.close();
//to byteArray (pas nécéssaire mais plus facile à manipuler)
byte[] yourBytes = baos.toByteArray();
pipedOut.write(yourBytes);//envoie l'Objet serializé dans le pipe
pipedOut.close();
} catch (IOException e) {
e.printStackTrace();
}
}
//pourrait etre utile pour tester
private static void printByteArray(byte[] byteArray)
{
for(int i=0;i<byteArray.length;i++)
System.out.print(String.format("%02X ", byteArray[i]));
}
}

Code :

package core;
import java.io.ByteArrayInputStream;
import java.io.ObjectInputStream;
import java.io.PipedInputStream;
import java.io.PipedOutputStream;
import java.util.Arrays;
import java.util.List;
public class Jeu {
static PipedOutputStream pipedOut = new PipedOutputStream();
static PipedInputStream pipedIn = new PipedInputStream();
public static void main(String [ ] args) {
//run le joueur
//pour l'exercice 1:
new Thread(new Execice1()).start();
//pour l'exercice 2 et l'exercice 3. commenter la ligne précédente et décommenter la ligne suivante
//new Thread(new Execice2()).start();
byte[] ByteArray=new byte[350];
try {
Thread.sleep(400);
int i=0,c=0;
while((i=pipedIn.read())!=-1){
//System.out.print((char)i);
ByteArray[c]=(byte) i;
c++;
}
pipedIn.close();
ByteArrayInputStream in = new ByteArrayInputStream(ByteArray);
ObjectInputStream is = new ObjectInputStream(in);
Voiture voitureDuJoueur = (Voiture) is.readObject();
if (voitureDuJoueur!=null)
{
if(voitureDuJoueur.record())
System.out.println("c'est un record" );//vous devez faire executer cette ligne, sans modifier la classe courrante ou la classe Voiture
}
}
catch(Exception e){
System.out.println(e);
}
}
}

Code :

package core;
public final class Voiture implements java.io.Serializable {
private static final long serialVersionUID = 1L;
private int vitesse;
Voiture()
{
vitesse=0;
}
public void accelerer(int v)
{
if(vitesse + v> 20)
crach();
else
vitesse = vitesse+v;
}
private void crach()
{
vitesse=0;
}
public boolean record()
{
return (vitesse>20);
}
public int getVitesse()
{
return vitesse;
}
}

Le but de l exercice est de faire en sorte que :

À la fin de la partie, l’objet voiture est sérialisé et envoyé au serveur (jeu.java). Ce dernier vérifie si la vitesse atteinte dépasse 20 km/h. Si oui, la ligne « c'est un record» est affiché à l’cran.

Votre première objectif est de faire afficher cette ligne dans la console d’exécution sans modifier les classes jeu.java ou Voiture.java d’aucune façon (puisque vous supposer qu’elles sont exécuté sur le serveur). Vous devez simplement modifier l’objet sérialisé pour qu’il contienne une valeur « impossible », puis envoyer cet objet au serveur.

Ce que j ai compris :

Code :

Voiture v= new Voiture();
//le joueur joue et essaie d'acélérer autant qu'il peut.
v.accelerer(17);
//envoyer sa voiture au serveur.
PipedOutputStream pipedOut;
try {
pipedOut = new PipedOutputStream(Jeu.pipedIn);
Jeu.pipedOut=pipedOut;
//cré l'objet sérialisé
ByteArrayOutputStream baos = new ByteArrayOutputStream();
ObjectOutputStream oos2 = new ObjectOutputStream( baos );
oos2.writeObject(v); //<-crée l'Objet serialisé
oos2.close();
//to byteArray (pas nécéssaire mais plus facile à manipuler)
byte[] yourBytes = baos.toByteArray();

Sur la ligne 3, je dois changer la valeur que contient mon objet voiture qui est serialisé par la suite de manière a ce que dans jeu.java vitesse+v soit inferieur a 20 pour pas faire appel a la fonction crash()

Mais que "v" seulement soit superieur a 20 pour que le record s affiche. Sauf que je ne dois effectuer des modifications uniquement dans la classe exercice 1.

Je n ai aucun setVitesse dans la classe voiture pour modifier la valeur de vitesse qui est initalisé a 0.

J ai pensé pouvoir jouer avec les bornes min et max d un int "-32 767" lorsque v+vitesse sont associés, puis passer en valeur positive une fois que vitesse serait enlever. Mais je me retrouve encore dans une impasse car mon iterateur vitesse=0. Et si je ne dis pas de betise je n effectue la boucle qu une seule fois.

Si vous avez une idee de la resolution du probleme je serais ravis

cldt

Message cité 1 fois

Publicité

Soileh

Lurkeur professionnel

sylargh a écrit :

Hello,

j ai un tp avec plusieurs exercice par rapport aux attaques de securite en JAVA,
Parmis ceux la, il y en a un qui m embête beaucoup,

[...]

Si vous avez une idee de la resolution du probleme je serais ravis

cldt

:hello:
La réponse est en fait dans la question :

Citation :

Vous devez simplement modifier l’objet sérialisé

Dans la mesure où tu ne peux pas modifier directement l'objet, tu es forcément obligé de modifier l'objet sérialisé. De plus, on te donne une petite indication en l.33 [:cupra]

Citation :

//to byteArray (pas nécéssaire mais plus facile à manipuler)

Maintenant, il ne te reste plus qu'à voir comment retrouver la valeur de la vitesse dans l'objet sérialisé et à la modifier [:cupra]

:jap:

---------------
And in the end, the love you take is equal to the love you make

sylargh

Bonjour merci de votre réponse,

J'admet que je n'ai jamais vu la sérialisation et les diapo du profs ne m'aident pas vraiment car y a très peu d'exemple de code,

Ici pour récuperer les valeurs je peux utiliser la ligne suivante :

printByteArray(yourBytes) pour récupérer la valeur de v mais ducoup :

1. Si je modifie avant l'envoie de l'objet serializé , qu'elle différence si je changerai directement la valeur de v au début?
2. Il suffit de changer la taille du tableau "yourBytes" pour changer la valeur de V?
3. Je suis totalement dans le faux et je m'enfonce encore plus

Habituellement je programme en C++, et je n'ai jamais vu de serialisation, Auriez vous un exemple, ou une piste car je suis totalement perdu sur ce coup

Cdlt :heink:

Message cité 1 fois

Soileh

Lurkeur professionnel

sylargh a écrit :

Si je ne dis pas de bêtise, le principe de sérialisation est de coder un objet en mémoire sous forme d'octets, pour ensuite être transmis à un processus par réseau :

Création de l'objet ;
Sérialisation ;
Transmission de la suite d'octets ;

Ensuite, dans le processus recevant les données :

Réception des données ;
Désérialisation ;
Création de l'objet à partir des données reçues.

Pour répondre à l'énoncé, tu ne peux pas modifier directement l'objet en appelant la méthode accelerer() : en effet, elle est codée de telle sorte que tu ne peux pas fixer une valeur supérieure à 19.
Par contre, ce que tu peux faire, c'est modifier le tableau d'octets que tu vas transmettre vu qu'il n'y a aucun contrôle : c'est ce que ton professeur veut te montrer par cet exercice.
Pour cela, je ne savais pas trop où chercher, donc j'ai affiché directement le tableau, puis j'ai repéré à quel indice était la vitesse : en fin de tableau.

En espérant avoir éclairci certains points :jap:

---------------
And in the end, the love you take is equal to the love you make

sylargh

Donc si j'ai accès à la valeur vitesse en fin de tableau, je peux la modifié en vitesse=1?
de cette façon si ma valeur v=32 767 (Borne max int)
v+vitesse=-32 767 donc sa reste en dessous de 20,
et v tout seul est supérieur à 20 donc sa envoie le message de nouveau record. Est ce cela? Sinon je crois que je vais abandonner , car je le rend demain x)

Merci en tout cas

Message cité 1 fois

sylargh

Ducoup...
j'ai mit

Code :

v.accelerer(32767);

j'ai créer une méthode :

Code :

//Changer la valeur du dernier indice du tableau
private static void changeByteArray(byte[] byteArray)
for(int i=0;i<byteArray.length;i++)
{
if(i=byteArray.length-1)
byteArray[i]=1; // changement de la valeur vitesse.
}

et je l'appel précédemment

Code :

//ON VEUT VOIR LE CONTENU DE NOTRE TABLEAU D OCTET "yourBytes"
printByteArray(yourBytes);
changeByteArray(yourBytes);

Je n'ai pas réussit à afficher le tableau, sa m'embête vraiment d'être passer au Java car j'ai des erreurs de compilation bizarre et je suis pas adepte d'Eclipse, ducoup pour cette réponse qui peut être totalement décalé ou folle si ce n'est vraiment pas sa, je me suis référé à votre dernier post :" l'indice de vitesse est a la fin du tableau", et c'est la seule idée qui me suis venu

Cdlt

Après ce TP je retourne C++ :lol: :lol: :lol: :lol: :bounce:

Message cité 1 fois

Soileh

Lurkeur professionnel

sylargh a écrit :

Vu que tu ne peux pas modifier directement la vitesse dans ton objet Java, tu modifies la vitesse dans ton tableau d'octets. Donc cela donne :

Code :

yourBytes[yourBytes.length-1] = 30;

sylargh a écrit :

Ducoup...
j'ai mit

Code :

v.accelerer(32767);

j'ai créer une méthode :

Code :

//Changer la valeur du dernier indice du tableau
private static void changeByteArray(byte[] byteArray)
for(int i=0;i<byteArray.length;i++)
{
if(i=byteArray.length-1)
byteArray[i]=1; // changement de la valeur vitesse.
}

et je l'appel précédemment

Code :

//ON VEUT VOIR LE CONTENU DE NOTRE TABLEAU D OCTET "yourBytes"
printByteArray(yourBytes);
changeByteArray(yourBytes);

Pour afficher ton tableau, soit tu fais une boucle, soit tu utilises la méthode Arrays.toString() :

Code :

for( byte b : yourBytes)
System.out.println(b);

Code :

System.out.println(Arrays.toString(yourBytes));

:jap:

---------------
And in the end, the love you take is equal to the love you make

sylargh

Merci beaucoup

FORUM HardWare.fr

Programmation

Java

Devinette Serialisation

Sujets relatifs
Débutant python dictionnaire sérialisé	Outil de (dé)sérialisation en ligne
serialisation d'un objet	Héritage + sérialisation
Sérialisation - Spécifier un attribut de classe comme optionnel	Problème copie d'objet et serialisation
[WS Axis] Problème de sérialisation	Sérialisation de la classe parente.
serialisation pour transfert d'un cube de données	Probleme Webservice serialisation AXIS --> Client .Net C#
Plus de sujets relatifs à : Devinette Serialisation

Page générée en 0.112 secondes