Dotaz: cgi a PATH

[Jáchym Čepický]

Zdravím,

bastlím skriptík, který nějakým způsobem pracuje s obrázky. Celé to běží jako CGI na Apachi.

Pokud chci použít nějaké konzolové nástroje (convert,grep,...), musím přihodit do proměnné PATH, kterou jako uživatel www-data mám nějaké to "/bin/:/usr/bin:...".

Je mi jasné, že když to někdo, tedy autoři Apache či debianí baliči, takto nastavili, tak k tomu asi měli docela dobrý důvod. Na druhou stranu, ty příkazy by se mi hodily, ale často není předem jasné, kde jsou v systému nainstalovány.

Takže jak moc velká díra do systému to je, dád prostě os.putenv("PATH","/usr/bin:/bin")?

Díky

Odpovědi

[happy barney]

jedno slovo na zamyslenie: chroot

[Jáchym Čepický]

nějaký link, který by to celé poněkud osvětlil v souvislosti s apachem? to slovo jsem uz slysel

jdu googlit, ale budu rad, kdyz mi poradite tu spravnou frazi...

dik

[Jáchym Čepický]

clovek nemusi ani moc googlit

jestli jsem to spravne pochopil, tak chroot je opatreni, ktere musi - chce-li - provest ten odvazlivec, ktery by si moji aplikaci nainstaloval na server (treba ja). vramci aplikace jej implementovat nelze(?)

[happy barney]

skôr som nestihol ...

chroot je opatrenie, aby tvoja aplikácia (s potencionálnymi) chybami nemala prístup na celý filesystém, ale len na tú časť, kde má data. Ak napr. sa apache spustí s chroot-om v adresári /srv/apache, tak pri požiadavke na súbor /bin/ls sa bude hľadať /srv/apache/bin/ls

[Tomáš]

Já myslím, že to díra není - tedy pokud nějaké nástroje nepůjdou zneužít skrz vaší aplikaci. Stejně jakožto uživatel www-data nebudete mít moc velký práva (standardně).

[Jáchym Čepický]

add zneuziti skrze moji aplikaci: poradna kontrola vstupnich dat by mela prave tohle rizoto snizit, zano...

www-data muze to, co mu povolili debiani balici - tem verim diky

[rastos]

>Pokud chci použít nějaké konzolové nástroje (convert,grep,...), musím přihodit do proměnné PATH, kterou jako uživatel www-data mám nějaké to "/bin/:/usr/bin:...".

Alebo použiť úplné cesty. Hm?

[happy barney]

hej, hej, to je vlastne pravda. Na to by si mal človek dávať pozor.

na vysvetlenie pre autora otázky:
PATH=/tmp/abcdefg/:/bin/:/usr/bin

a v adresári /tmp/abcdefg/ budú napr. passwd, ssh, su, ...