代码之家 › 专栏 › 技术社区 › Jé Queue

Apache CGI Bash应用程序中的安全性或其他GOTCAH?

cgi shell bash security linux

0

Jé Queue · 技术社区 · 17 年前

我已经接管了支持时间和费用输入系统的工作。Apache的CGI。CGI程序是用bash编写的:)我将向其中添加一些功能,并向更多的用户公开它,但在此之前,我想了解一下还需要关注哪些方面第一在安全性、漏洞、CGI陷阱等方面;c。

我被撕破了,好像这堆东西真的需要剥掉还是不需要?

2 回复 | 直到 17 年前

1

2

Alex Martelli 17 年前

像一个对系统中的所有代码都了如指掌的恶意用户一样思考(代码的模糊性不是防御!-):你将如何颠覆系统?

您是否可以提供恶意的标题、URL或查询参数,从而使恶意注入的文本最终被系统吞噬并用于攻击文件系统、数据库等?SQL注入是攻击的一种途径,但也可能有其他途径,除非系统真的偏执于处理从用户那里收到的所有信息——不要使用它(没有非常仔细的检查和清理!)来形成文件名、系统命令等等,不要存储它以供以后执行等等。

它没有任何特定于bash或cgi的特性——只是为了确保安全性而需要的常见或花园式的偏执狂(甚至没有perl的“污点”概念这样的拐杖——这并不能完全解决所有问题[[当然远远不是]],但它确实拯救了你努力;-)。

2

0

Larry K 17 年前

你的应用曝光率是多少?它是在internet上还是仅通过intranet提供?

应用程序的数据库是否包含任何敏感信息?

每一个 通过表单发送到应用程序的字段。我认为这是在bash应用程序中应该注意的第一件事——传入数据直接在SQL语句中使用,而无需正确的转义/引用。

你也可以担心XSS和会话劫持,如果你想。。。

应用程序的可维护性如何?代码清楚吗?