Programmation CGI Common Gateway Interface Julien FAURE - Fabien FONTVIEILLE - Nicolas HERRERO.

Programmation CGI

Common Gateway Interface

Julien FAURE - Fabien FONTVIEILLE - Nicolas HERRERO

La Programmation CGI

Principe Général

Traitement des informations

Sécurité et CGI


Section I Principe Général des CGI

Intérêt des CGI Modification dynamique de page web (page non statique)

Norme CGIInterface entre une application et un serveur (donnée -> HTML)Script CGI : programme exécutable avec des droits : r-xr-xr-xExécuté par le serveur (Web) dans un répertoire spécifiqueTransparent pour les utilisateursProgrammé en différents langages (Perl, C/C++, Shell Unix, ...)

Description Générale

Exemple en Perlscriptcgi.pl : exécution automatique

#!/usr/bin/perlprint "Content-type:text/html\n\n"; # sortie de type text/htmlprint <<EOF; # ligne libre obligatoire (\n\n)<HTML><HEAD><TITLE>Script CGI</TITLE></HEAD><BODY BGCOLOR=\"#FFFFFF\"><BR><BR><BR><BR><CENTER>

<H1> Salut à tous<p>voici le résultat d’un script CGI </H1> </CENTER>

</BODY></HTML>EOF

#include <stdio.h>

main(){printf ("Content-type:text/html\n\n"); printf("<HTML><HEAD><TITLE>Script CGI</TITLE></HEAD>\n"); printf("<BODY BGCOLOR=\"#FFFFFF\">\n"); printf("<BR><BR><BR><BR>\n"); printf("<CENTER><H1>\n");

printf("Salut à tous<p>voici le résultat d’un script CGI\n"); printf("</H1></CENTER>\n"); printf("</BODY>\n"); printf("</HTML>\n"); }

Exemple en Cscriptcgi : doit être compilé

ExempleAppel des CGI : http://www.nomdomaine.com/cgi-bin/scriptcgi.pl

http://www.nomdomaine.com/cgi-bin/scriptcgi

Utilisation des CGI :

Traitement de formulaire Webmails, chatInterrogation de BDDCompteurs, Livre d ’Or,...

Description Générale

Utilisateur Serveur CGI

Requête URL

Traitement des données

Charge leformulaire

Complète puis validation

Réception des données

Interaction Formulaire et CGI


Section II Traitement des Informations

Appel des CGI

Lien<A HREF=“/cgi-bin/monscript.cgi“> appel CGI </A>

Image <IMG SRC=“/cgi-bin/compteur.cgi“>

SSI (Server Side Includes)

Formulaires <FORM ACTION=“/cgi-bin/monscript.cgi“ METHOD= “get“>

Les Formulaires HTML

Les méthodes POST et GET

Méthode GET Réception des données : Variable d’environnement QUERY_STRING Pas de données trop importantes ni trop confidentielles Arguments passés dans l’URL (1024 caractères maximum)

Méthode POST Données transmises via l’entrée standard (STDIN) Taille des données dans la variable CONTENT_LENGTH

Dans les 2 cas Données transmises au format URL-encoded (les espaces sont remplacés par des +, les ~ par %7E … ) Nécessité d’une « moulinette » pour retrouver les bons caractères

Le CGI en C

Exécution avec la méthode GET

Exécution avec la méthode POST

Remarques

Les bibliothèques On peut utiliser des bibliothèques existantes pour faciliter le traitement exemple en C : avec la bibliothèque cgi-util

char name[1024];cgiinit();getentry(name, “Name“);

Les variables d’environnement QUERY_STRING, REQUEST_METHOD, CONTENT_LENGTH

HTTP_REFERER : URL de la source REMOTE_ADDR : IP du client HTTP_USER_AGENT : Signature du navigateur …


Section III Sécurité et CGI

Les Dangers des CGI

Risques de « plantage » du serveur

Appel en boucle d’un CGI en vue de faire monter la charge système ou envoi d’une trop grande quantité de données.

Risques d’intrusion

Exécution d’une commande non voulue sur le serveur permettant de détruire le système ou de voler des fichiers confidentiels (/etc/password)

Les Risques de Plantage

Attaques de type DOS ( Denial Of Service )

Le pirate cherche à rendre inactif le système, à le faire « crasher » en occupant toutes les ressources mémoire ou CPU du serveur.

Problème de BUFFER OVERFLOW

La taille des données envoyées est supérieure à celle de la variable utilisée dans le script pour les stocker.

Les Risques de Vol d’informations

Un script CGI mal écrit peut permettre à une personne malveillante d’accéder à certains fichiers sensibles.

Le pirate peut récupérer les mots de passe utilisateurs par le biais du fichier /etc/passwd, il y a perte de confidentialité.

Le cracker peut modifier le code de manière à pouvoir exécuter d’autres commandes.

Stratégie et Solutions de Sécurité

Une des principales stratégie à adopter peut se résumer en une brève maxime:

Ne faites jamais confiance aux données fournies par l’utilisateur.

Les problèmes de sécurité surviennent lorsque des suppositions sont faîtes sur les données et sur les utilisateurs qui ne font jamais ce qui est attendu, de façon volontaire ou involontaire.

Pour sécuriser un script CGI, il faut faire preuve de créativité en imaginant tous les cas possibles.

Réduire les Risques de Plantage

Il faut vérifier la validité des informations reçues du client.

Origine des données

Il faut s’assurer grâce à la variable d’environnement HTTP_REFERER que la requête vient bien du site web et non d ’une autre adresse.

Cohérence des données

Il faut vérifier la taille des entrées avant tout traitement ce qui permettra de refuser le traitement si la taille excède celle attendue.

Réduire les Risques d’Intrusion

Au niveau du programme CGI

L’utilisateur et le groupe auxquels de programme CGI appartient doivent avoir des droits limités.

ex : utilisateur nobody

Le programme CGI ne doit pas être accessible en écriture, afin d’empêcher un éventuel pirate de lui ajouter du code, ce qui reviendrais à lui laisser un accès au shell du serveur.

droits : 555 (r-x r-x r-x)

…soit lecture et exécution pour tous, écriture impossible

Réduire les Risques d’Intrusion

Au niveau du répertoire

Le répertoire dans lequel sont stockés les CGI (cgi-bin) ne doit pas être accessible en écriture par n’importe qui afin d’empêcher qu’un pirate n’ajoute un script malveillant sur le serveur.

Au niveau des fichiers de données

Les fichiers de données dans lesquels le CGI peut écrire ne doivent être accessible en écriture que par le propriétaire du CGI .

droits 644 (rw- r- - r- -) …soit lecture et écriture pour le propriétaire et lecture seule pour les autres

Remarques

Importance du langage de programmation

Les CGI compilés (langages C,C++…) sont plus sûrs car l’accès aux sources est plus compliqué, voir impossible.

Les CGI interprétés (langage Perl, scripts shell …) sont plus vulnérables, et consomment plus de ressources.

Un serveur Web n’est pas un serveur d’applications

Les CGI ne doivent pas réaliser directement des traitements lourds. Il faut déléguer ces tâches au serveur d’applications afin de préserver les ressources du serveur Web.


En Conclusion …


Un outil puissant, mais complexe

Des risques non négligeables

Les alternatives : ASP, PHP, JSP…

Programmation CGI Common Gateway Interface Julien FAURE - Fabien FONTVIEILLE - Nicolas HERRERO.

Documents

Transcript of Programmation CGI Common Gateway Interface Julien FAURE - Fabien FONTVIEILLE - Nicolas HERRERO.