Re: cgi e sicurezza
On 10/09/2017 08:10, Paride Desimone wrote:
Mi sto apprestando a giocare un po' con i cgi, al momento scritti in
Gnu/COBOL.
Quacuno sa consigliarmi un po' di documentazione sulla sicurezza dei
cgi? Configurazione apache, permessi, ecc.?
Non c'è sicurezza intrinseca nei CGI, tranne quella "standard" di apache
e di Linux.
Il CGI riceve in stdin il body della richiesta, e tutto quello che manda
in stdout viene rimandato al browser. Hai un paio di env vars con la
query string e quello che c'è nel path dopo il nome dello script.
A livello apache gestisci tutto come se fosse una normale directory:
permessi, autenticazione, rewrite, ecc.
A livello Linux lo script deve naturalmente essere leggibile ed
eseguibile dall'utente con cui gira apache (www-data su Debian), e gira
con i permessi dello stesso utente, per quanto ricordo.
Puoi usare apache-suexec
(https://httpd.apache.org/docs/2.4/programs/suexec.html) o simili per
forzare un utente specifico.
Però, onestamente, fossi in te penserei di mettere qualcosa di più
aggiornato a servire le pagine (tipo php, python, ruby, go, node, ...) e
chiamerei gli script cobol da lì.
Bye.
Reply to: