cgiの設置について
1：ﾚﾝﾀﾙｻｰﾊﾞｰでcgiﾌｧｲﾙはcgi-binﾌｫﾙﾀﾞ､
htmlﾌｧｲﾙや画像はhttpdocsに設置するように指定されています｡
ｾｷｭﾘﾃｨ上の理由とのことですが､
具体的にどういうｾｷｭﾘﾃｨ上の危険があるのでしょうか？
2：httpdocsに設定を変更すればhtmlﾌｧｲﾙとともにcgiﾌｧｲﾙも置けるようです｡
ただし､ｾｷｭﾘﾃｨ上の危険があるようです｡
httpdocsﾌｫﾙﾀﾞにhtmlﾌｧｲﾙや画像とcgiﾌｧｲﾙを一緒に置くことによる
ｾｷｭﾘﾃｨ上の危険とは具体的にどのようなものですか？
3：cgi-binﾌｫﾙﾀﾞにcgiﾌｧｲﾙ､httpdocsﾌｫﾙﾀﾞにcssや画像ﾌｧｲﾙをおいています｡
SSL通信を行うとcgi部分しか表示されません｡
通常のhttpだとcssも含め表示されます｡
このような場合はhttpdocsﾌｫﾙﾀﾞにcgiﾌｧｲﾙ､cssﾌｧｲﾙ､画像等を一緒に置かないといけないのでしょうか？どうしたらお問い合わせﾌｫｰﾑcgiをSSL通信できるようになりますか？
よろしくお願い致します｡
環境によるため一概に言えないのでｱﾊﾞｳﾄにですが｡
httpdocs配下にﾕｰｻﾞｰがcgiを自由に設置できる場合､そのcgiにｾｷｭﾘﾃｨﾎｰﾙがあると､攻撃ｺﾏﾝﾄﾞをﾌｫｰﾑ内に書くなどの方法で､状況が最悪なら
- httpdocs配下のﾃﾞｨﾚｸﾄﾘ･ﾌｧｲﾙ構成を全て読み出すことができる
- 攻撃ﾌﾟﾛｸﾞﾗﾑやﾏﾙｳｪｱを公開状態の任意の位置にｱｯﾌﾟﾛｰﾄﾞして閲覧者を攻撃できる
- ﾃﾞｰﾀﾍﾞｰｽを利用している場合､その中身も閲覧や操作ができる
- ｻｲﾄ全体や権限の書き換え､ﾛｸﾞや閲覧者情報の盗聴なども容易になる
などなど､何でもござれの状態になり得ます｡
こうなるとﾊﾟｰﾐｯｼｮﾝなどは役に立ちません｡
ｻｰﾊﾞｰ全体に被害が及ぶこともあります｡
cgiが実行･操作できる範囲を限定するのは､
- cgi-binの外に攻撃範囲が及ばないようにするための一策となる(万全ではないけど)
- Apacheのﾃﾞﾌｫﾙﾄ設定も同様のﾎﾟﾘｼｰ(動作範囲に明示的な許可を必要とする)で､ｱｯﾌﾟﾃﾞｰﾄの際にﾕｰｻﾞｰ単位でのｶｽﾀﾏｲｽﾞをせずに設置･更新ができる(今どきはｶｽﾀﾏｲｽﾞは当然自動化できるでしょうが)
- ｻｰﾊﾞｰ管理者としては万一問題が発生した時に､cgi-bin配下だけを切り離しや停止する方が容易
といった利点があります｡全てのﾕｰｻﾞｰが攻撃･対策の知識やﾌﾟﾛｸﾞﾗﾑ実装に精通していない前提で､｢一番ﾚﾍﾞﾙの低いﾕｰｻﾞｰに合わせて提供ﾙｰﾙを作る｣会社もあります｡
画像などが表示されない場合は､SSLのﾍﾟｰｼﾞ内で､imgﾀｸﾞやcss呼び出し部だけhttp://??からURL指定で書くと単純に解決できます｡
ﾍﾞｽﾄｱﾝｻｰ