On 10/09/2017 08:10, Paride Desimone wrote:
Mi sto apprestando a giocare un po' con i cgi, al momento scritti in Gnu/COBOL. Quacuno sa consigliarmi un po' di documentazione sulla sicurezza dei cgi? Configurazione apache, permessi, ecc.?
Non c'è sicurezza intrinseca nei CGI, tranne quella "standard" di apache e di Linux.
Il CGI riceve in stdin il body della richiesta, e tutto quello che manda in stdout viene rimandato al browser. Hai un paio di env vars con la query string e quello che c'è nel path dopo il nome dello script.
A livello apache gestisci tutto come se fosse una normale directory: permessi, autenticazione, rewrite, ecc.
A livello Linux lo script deve naturalmente essere leggibile ed eseguibile dall'utente con cui gira apache (www-data su Debian), e gira con i permessi dello stesso utente, per quanto ricordo.
Puoi usare apache-suexec (https://httpd.apache.org/docs/2.4/programs/suexec.html) o simili per forzare un utente specifico.
Però, onestamente, fossi in te penserei di mettere qualcosa di più aggiornato a servire le pagine (tipo php, python, ruby, go, node, ...) e chiamerei gli script cobol da lì.
Bye.
