Wappalyzer, "Web application Analyzer"

[davidm]

Il y a quelques jours, j'ai découvert par hasard Wappalyzer, une extension FireFox qui permet de savoir quelles applications web sont utilisées sur un site. Les stats récoltées via cette extension sont visibles ici : http://wappalyzer.com/

Vous pouvez trouver la dernière version de l'extension ici : https://addons.mozilla.org/en-US/firefox/ad.../versions/10229

Notamment j'ai demandé l'ajout de modx (dans la 1.2.4) et bientôt TYPOlight (dans la 1.2.5).

Evidemment, pour l'instant les appli les plus connues ont des stats un peu biaisées puisqu'elle ont été les premières ajoutées mais à plus long terme ça peut être un outil pour avoir une idée du parc installé...

[adn]

Salut David,

Sais-tu sur quoi s'appuie cet outil pour déterminer l'application mise en oeuvre ?

[captain_torche]

J'imagine que c'est une analyse du code source.

Par contre, dans ce cas je ne vois pas comment ils pourraient détecter des systèmes tels que SPIP.

[Dadou]

Dans les entêtes HTTP tu as

Composed-By: SPIP 2.0.2 @ www.spip.net + cfg(1.10.5),crayons(1.1),notifications(0.4),selecteurgenerique(0.2),svn_update(0

.32),topten(0.1),autorite(0.9.2)

X-Spip-Cache: 86400

[captain_torche]

Ha, effectivement, j'avais pas pensé aux en-têtes. C'est une solution, également

Même s'ils doivent inspecter le code source pour identifier les scripts utilisés.

[adn]

Ce ne doit pas être vraie pour toutes les applis. Je viens de regarder l'en-tête de mon site sur MODx www.webplongee.com, il n'y a rien de mentionné. J'ai tendance à croire que c'est dans le html que la recherche se fait avec les résultats aléatoires que cela peut avoir vu le nombre de sites qui suppriment la référence. Bon maintenant faut voir çà de manière globale.

[Dadou]

Oui bien sur il faut que les devs de l'appli aient pensé à modifier le header par

header('Composed-By: nom de l'appli');

Dans modx je présume qu'il y en a pas. Mais oui, des blocs de codes peuvent faire partis des indices pour reconnaitre une appli, comme par exemple ton formulaire de recherche doit en être un.

<form id="ajaxSearch_form"  action="resultat-recherche.html" method="post">
	<fieldset>
		<input type="hidden" name="advSearch" value="oneword" />
	<label for="ajaxSearch_input">

	  <input id="ajaxSearch_input" class="cleardefault" type="text" name="search" value="Saisissez votre recherche ici..." onfocus="this.value=(this.value=='Saisissez votre recherche ici...')? '' : this.value;" />
	</label>
	<label for="ajaxSearch_submit">
	  <input id="ajaxSearch_submit" type="submit" name="sub" value="rechercher!" />
	</label>
	</fieldset>
</form>

Il y a aussi les urls générées qui peuvent être un indice, les JS implémentés par défaut...

En fait tout plein de chose pour savoir avec quel CMS tu a fais ton site. C'est pas fiable à 100%, mais à mon avis, on peut obtenir d'assez bon résultats

[captain_torche]

On peut aussi tester de manière empirique différents noms de répertoires pour l'administration (je doute qu'ils le fassent, hein, c'est juste une méthode possible).

[Dadou]

C'est pour cela que je les renommes tout le temps

[davidm]

Pour répondre à la question, le addon firefox utilise des regex et parcoure le code, pour modx c'est simple j'ai proposé à Elbert (le développeur) d'utiliser

<script type="text/javascript">var MODX_MEDIA_PATH = "media";</script>

Ce n'est pas parfait mais c'est le seul bout de code qu'on retrouve sur presque toutes les install.

Pour SPIP, je ne sais pas quel est le schéma de détection utilisé.

Vous pouvez proposer des applis ici :

http://getsatisfaction.com/crunchlabz/prod...labz_wappalyzer

[Dadou]

Arf, dans l'exemple d'ADN justement, il n'y a pas.

Mais cela va dépendre beaucoup de l'intégrateur, qui aura nettoyer le code ou pas

[adn]

Oui Dadou, je viens juste de regarder et dans mes autres implémentations de MODx, j'en ai trois, c'est pareil

[davidm]

Ce n'est pas une question de nettoyage VAR_MODX_MEDIA_PATH est requis pour certaines TVs et ce sont les fichiers du core qui produisent cette ligne de code, pas les templates. Cf http://modxcms.com/forums/index.php/topic,16575.0.html

On peut la jarter avec un plugin mais ce n'est pas conseillé car dès qu'on a une TV qui utilise un widget, celle-ci sera "cassée".

Dans les futures release il est prévu de changer la méthode, et d'ici là wappalyzer changera sa méthode de détection.

[Dadou]

Ce n'est pas changer qu'il faut mais ajouter pour qu'il puisse détecter anciennes et nouvelles versions

[davidm]

Oui exact, autant pour moi !