cgi-bin unter lighttpd

< chown: /usr/libexec/postfix: No such file or directory | The matrix has you!!!111! >

Submitted by Christian Schneider on Wed, 2006-06-14 19:00

lighttpd erkennt cgi-Scripte per Default an der Dateiendung. Das hat dann den IMO nicht sonderlich sinnvollen Nebeneffekt, dass es egal ist wo diese Scripte liegen; sobald sie eine bestimmte Dateiendung haben und ausfuehrbar sind, werden sie auch ausgefuehrt. Schuld daran ist folgender Abschnitt in der lighttpd.conf

cgi.assign   = ( ".pl"  => "/usr/bin/perl",

                      ".cgi" => "/usr/bin/perl" }

Wenn man - wie von Apache gewoehnt - will, dass Scripte nur in einem Verzeichnis Namens "cgi-bin" ausgefuehrt werden sollen, dann reicht es wenn man den oben genannten Eintrag kommentiert und durch folgenden ersetzt:

$HTTP["url"] =~ "^/cgi-bin/" {

        cgi.assign = ( "" => "/usr/bin/perl" ) }

Wenn man jetzt auf ein ausfuehrbares Script ausserhalb des cgi-bin - Directory zugreifen will, wird dieses Script nicht mehr ausgefuehrt, sondern "nur" zum Download angeboten. Wenn man das auch nicht will, dann sollte man die Direktive static-file.exclude-extensions wie folgt erweitern

static-file.exclude-extensions = ( ".php", ".fcgi", ".pl", ".cgi" )

Danach werden Perlscripte nur noch ausgefuehrt, wenn sie unter cgi-bin liegen und ausfuehrbar sind.

in Security, Software | Noch keine Kommentare | Keine Trackbacks

↑ TOP

Tags für diesen Artikel: lighttpd, perl, Security

Artikel mit ähnlichen Themen:

Trackbacks

Trackback-URL für diesen Eintrag

Keine Trackbacks

Kommentare

Ansicht der Kommentare: (Linear | Verschachtelt)

Noch keine Kommentare

Kommentar schreiben

Name
E-Mail
Homepage
Antwort zu
Kommentar: HTML-Tags werden in ihre Entities umgewandelt.
Sie können [geshi lang=LANG][/lang] Tags verwenden um Quellcode abhängig von der gewählten Programmiersprache einzubinden
Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet.

Um maschinelle und automatische Übertragung von Spamkommentaren zu verhindern, bitte die Zeichenfolge im dargestellten Bild in der Eingabemaske eintragen. Nur wenn die Zeichenfolge richtig eingegeben wurde, kann der Kommentar angenommen werden. Bitte beachten Sie, dass Ihr Browser Cookies unterstützen muss, um dieses Verfahren anzuwenden.

Hier die Zeichenfolge der Spamschutz-Grafik eintragen:
Standard-Text Smilies wie :-) und ;-) werden zu Bildern konvertiert.
BBCode-Formatierung erlaubt
Gravatar/Pavatar/Favatar/MyBlogLog/Pavatar Autoren Bilder werden unterstützt.
: Daten merken?
Bei Aktualisierung dieser Kommentare benachrichtigen
: Kommentare werden erst nach redaktioneller Prüfung freigeschaltet!