36、保障 CGI 脚本安全：全面指南

保障 CGI 脚本安全：全面指南

在当今数字化时代，网站安全至关重要。无论是银行网站这样对数据安全要求极高的平台，还是普通的商业网站，都需要采取一系列措施来确保服务器和 CGI 脚本的安全。本文将详细介绍保障网站安全的各个方面，包括服务器基础安全设置、常见的安全漏洞及防范方法。

1. 网站安全的重要性

不同类型的网站对安全的需求程度不同。以银行网站为例，它包含大量敏感的数据库信息，绝不允许向公众泄露。确保无人能入侵网站至关重要，因为这关系到用户对银行的信任，进而影响银行的业务。而大多数网站的安全需求处于不同的程度之间。在设计网站时，需要准确评估网站数据的价值，并考虑到因黑客篡改主页可能导致的业务损失。网站安全漏洞可能会对公司形象造成严重打击，尤其是在电子商务时代。

2. 保障 Web 服务器安全

在考虑保障 CGI 程序安全之前，必须确保 Web 服务器在操作系统层面具有合理的安全性。以下是一些关键的安全措施：
- 关闭不必要的网络服务 ：关闭所有未实际使用的网络服务，因为恶意用户无法通过未使用的服务连接到计算机，也就无法利用这些服务进行攻击。
- 避免使用高权限运行 Web 服务器 ：
- 在运行 UNIX 的计算机上，绝不能让 Web 服务器以 root 权限运行。root 用户可以对整个系统进行完全访问，一旦攻击者获得 root 权限，就可以控制整个计算机。
- 在 Windows 系统下，也不能让 Web 服务器以管理员权限运行。通常，Windows Web 服务器安装时会配置为在无特权账户下运行。
- 如果需要在默认的 HTTP 端口 80 上运行 Web 服务器，必须以 root 权限启动，但启动后处理 HTTP 请求的子进程不应具有 root 权限。

系统类型	高权限账户	建议操作
UNIX	root	不以 root 权限运行 Web 服务器
Windows	Administrator	不以管理员权限运行 Web 服务器

graph LR
    A[启动 Web 服务器] --> B{是否以 root 权限启动}
    B -- 是 --> C{监听端口 80?}
    C -- 是 --> D[fork 子进程处理请求]
    D --> E[子进程无 root 权限]
    B -- 否 --> F[正常运行]

3. 保持软件更新

及时更新服务器软件和操作系统是保障安全的重要措施。这并不意味着一定要运行最新版本的软件，而是要关注发现的安全漏洞，并及时安装相应的更新或补丁来修复这些漏洞。可以通过以下途径获取安全信息：
- 订阅计算机应急响应团队（CERT）的邮件列表，一旦发现常见操作系统中的新安全问题，CERT 会发布安全公告。
- 访问 http://www.securityfocus.com 网站，获取大量的安全信息。
- 关注软件供应商提供的漏洞公告服务。

4. 集中存储 CGI 脚本

大多数 Web 服务器提供两种存储 CGI 脚本的方式：将它们集中存放在 cgi - bin/ 目录下，或者与 HTML 文件和图像一起存放在文档目录中。从安全角度考虑，应始终将 CGI 脚本存放在 cgi - bin/ 目录下，原因如下：
- 防止脚本被下载 ：服务器会尝试执行 cgi - bin 目录中的文件，而不是直接将其发送给用户，这样可以避免用户获取脚本的源代码。
- 便于管理 ：将所有 CGI 程序集中存放在一个位置，在需要编辑或禁用脚本时更容易找到它们。

5. 设置合理的文件权限

为了提高安全性，应尽可能设置严格的文件权限。以下是一些建议：
- 使用特殊账户运行 Web 服务器 ：可以使用像 nobody 这样的特殊无特权账户运行 Web 服务器，也可以创建一个具有严格受限权限的特殊账户，如 www 或 web。
- 更改文件所有权 ：将 Web 根目录下所有文件的所有权更改为特殊账户，如 www 账户，并设置服务器的日志文件和配置文件，使其只能由该账户写入。
- 创建用户组 ：如果有需要，可以创建一个允许创建网站内容的用户组，并更改文档根目录中所有文件的权限，使只有该组的成员才能写入这些文件。

6. 关闭不利于安全的服务器选项

大多数 Web 服务器提供的一些功能不利于安全，需要谨慎使用或关闭：
- 关闭自动目录列表功能 ：虽然该功能对用户在某些情况下查看没有默认文档的目录列表有帮助，但作为服务器管理员，不希望用户随意浏览服务器上的文档目录，因为可能会暴露访问控制文档或 CGI 脚本的备份文件。
- 避免使用符号链接 ：设置 Web 服务器跟随符号链接到文档根目录之外的目录可能会导致安全问题，因为容易误将链接设置到系统目录，使 Web 用户能够访问这些目录中的文件，从而增加被攻击的风险。建议使用在配置文件中设置指向服务器根目录之外目录的指针的方法来扩展文档根目录。
- 关闭 SSI 指令 exec ：SSI 指令 exec 可以执行任何系统命令并将输出回显到 Web 浏览器，存在较大的安全风险。即使 Web 服务器以无特权用户运行，也应关闭不需要使用该指令的目录中的 exec 功能。

7. 常见的 CGI 安全漏洞及防范方法

在编写 CGI 脚本时，可能会犯一些常见的错误，导致入侵者容易攻破 Web 服务器。以下是一些常见的安全漏洞及防范措施：
- 绕过输入验证 ：用户可以绕过 HTML 表单的输入验证直接访问 CGI 脚本。例如，使用 GET 方法时，用户可以在浏览器地址栏中输入任意数据；使用 POST 方法时，用户可以编写一个 HTML 页面来调用 CGI 脚本并发送自定义数据。因此，在编写 CGI 程序时，不能对用户输入做任何假设，必须对输入进行严格验证。
- 缓冲区溢出问题 ：在 C 或 C++ 程序中，常见的错误是为用户输入分配固定大小的内存。攻击者可以发送超过预期的数据量，导致程序崩溃并可能打开安全漏洞。例如，以下是一段存在缓冲区溢出问题的代码：

#include <stdlib.h>
#include <stdio.h>
static char query_string[1024];
char* read_POST() {
    int query_size;
    query_size = atoi(getenv("CONTENT_LENGTH"));
    fread(query_string, query_size, 1, stdin);
    return query_string;
}

为了避免缓冲区溢出，应该动态分配内存，如下所示：

char* read_POST() {
    int query_size = atoi(getenv("CONTENT_LENGTH"));
    char* query_string = (char*) malloc(query_size);
    if (query_string != NULL)
        fread(query_string, query_size, 1, stdin);
    return query_string;
}

此外，在编写 C 程序时，应避免使用 strcpy() 和 strcat() 函数，因为它们容易受到缓冲区溢出问题的影响，而 strncpy() 和 strncat() 是更安全的选择。

• 避免将原始输入发送到 shell 命令 ：在使用 UNIX 编程语言时，许多函数可以执行 shell 命令，但使用这些函数时必须非常小心。例如，以下 Perl 代码存在安全风险：

$user_to_finger = $data_from_form;  # 从表单输入获取数据
print "Content-type: text/plain\n\n";
open (FINGER, "finger $user_to_finger |");
while (<FINGER>) {
    print;
}

如果用户输入恶意命令，如 `rafe; cat /etc/passwd`，脚本将执行该命令并返回服务器密码文件的内容。为了避免这种情况，必须确保用户无法向 shell 命令发送输入。在 Perl 中，可以使用 taint 检查来确保不将不安全的用户输入传递给 shell。要启用 taint 检查，可以在 Perl 程序开头添加 `-T` 标志：

#!/usr/local/bin/perl -T

以下代码可以对受污染的数据进行清理：

if ($data =~ /^([-\@\w.]+)$/) {
    $data = $1;                     # $data 现在未受污染
} else {
    die "Bad data in $data";        # 记录错误信息
}

• 使用文件路径的风险 ：在 Web 页面中使用直接文件路径或允许用户在表单中输入路径时，存在安全风险。攻击者可以输入指向系统中任意文件的路径，从而获取敏感信息。例如，如果程序设置为自动从 /home/documents 目录查找文件，用户输入 ../../etc/passwd 可能会导致密码文件被发送给用户。因此，在编写使用路径信息的 CGI 程序时，必须检查路径中是否包含 .. 表达式。
• 避免将 Perl 解释器放在 cgi - bin 目录 ：曾经建议将 Windows NT 的 perl.exe 程序放在 cgi - bin 目录中以执行 Perl 编写的 CGI 脚本，但这样做会允许任何用户在服务器上运行任意的 Perl 代码片段。例如，用户可以通过输入特定的 URL 来删除服务器目录中的所有文件。因此，不应将 perl.exe 或其他命令解释器放在 CGI 目录中。
• 避免使用 DOS 批处理文件作为 CGI 程序 ：在 Windows NT 中使用 DOS 批处理文件作为 CGI 程序时，用户可以在 URL 中附加额外的命令，这些命令将在批处理文件执行后执行。例如，用户可以通过输入 cgi - bin/output.bat?&dir 同时运行批处理文件和 dir 命令。为了避免这个问题，最好不要使用 DOS 批处理文件作为 CGI 程序。
• 保护服务器信息 ：虽然添加对各种 UNIX 实用程序（如 who、finger、ifconfig、netstat 等）的网关看起来很酷，但这通常不是一个好主意。因为透露的服务器信息越多，攻击者就越容易入侵系统。即使只是提供用户名列表，也可能成为攻击者入侵服务器的起点。

通过采取上述措施，可以大大提高网站的安全性，保护服务器和 CGI 脚本免受各种攻击。同时，持续关注安全动态，及时更新软件和修复漏洞，是保障网站长期安全的关键。

保障 CGI 脚本安全：全面指南

8. 安全漏洞总结与对比

为了更清晰地了解常见的 CGI 安全漏洞及其防范方法，下面通过表格进行总结对比。

安全漏洞类型	漏洞描述	示例代码	防范措施
绕过输入验证	用户可绕过 HTML 表单输入验证直接访问 CGI 脚本	无	对用户输入进行严格验证，不做假设
缓冲区溢出问题	为用户输入分配固定大小内存，攻击者发送超量数据致程序崩溃	c<br>#include <stdlib.h><br>#include <stdio.h><br>static char query_string[1024];<br>char* read_POST() {<br> int query_size;<br> query_size = atoi(getenv("CONTENT_LENGTH"));<br> fread(query_string, query_size, 1, stdin);<br> return query_string;<br>}<br>	动态分配内存，避免使用 strcpy() 和 strcat() 函数
原始输入发送到 shell 命令	用户输入恶意命令，脚本执行后泄露敏感信息	perl<br>$user_to_finger = $data_from_form; # 从表单输入获取数据<br>print "Content-type: text/plain\n\n";<br>open (FINGER, "finger $user_to_finger |");<br>while (<FINGER>) {<br> print;<br>}<br>	确保用户无法向 shell 命令发送输入，使用 taint 检查
使用文件路径的风险	用户输入指向系统任意文件的路径，获取敏感信息	无	检查路径中是否包含 .. 表达式
将 Perl 解释器放 cgi - bin 目录	允许用户在服务器运行任意 Perl 代码片段	无	不将 perl.exe 或其他命令解释器放 CGI 目录
使用 DOS 批处理文件作为 CGI 程序	用户可在 URL 附加额外命令，在批处理文件后执行	无	不使用 DOS 批处理文件作为 CGI 程序
泄露服务器信息	透露服务器信息多，攻击者易入侵系统	无	不添加对 UNIX 实用程序的网关，不提供用户名列表

9. 安全措施实施流程

为了更好地实施上述安全措施，下面给出一个 mermaid 格式的流程图，展示保障 CGI 脚本安全的主要步骤。

graph LR
    A[启动保障流程] --> B[保障 Web 服务器基础安全]
    B --> C[保持软件更新]
    C --> D[集中存储 CGI 脚本]
    D --> E[设置合理文件权限]
    E --> F[关闭不利安全选项]
    F --> G[防范常见 CGI 安全漏洞]
    G --> H[定期检查与更新]
    H --> I[结束保障流程]

10. 安全意识培养

除了采取技术措施保障 CGI 脚本安全外，培养相关人员的安全意识也至关重要。以下是一些建议：
- 培训开发人员 ：对开发 CGI 脚本的人员进行安全培训，使其了解常见的安全漏洞和防范方法，在编写代码时能够遵循安全规范。
- 建立安全制度 ：制定严格的安全制度，规定服务器的使用、维护和管理流程，确保所有操作都符合安全要求。
- 定期安全评估 ：定期对网站进行安全评估，发现潜在的安全问题并及时解决。

11. 应急响应机制

即使采取了全面的安全措施，也不能完全排除安全事件发生的可能性。因此，建立应急响应机制非常重要。以下是应急响应的主要步骤：
1. 监测与预警 ：使用安全监测工具实时监测服务器的运行状态，及时发现异常活动并发出预警。
2. 事件评估 ：一旦发现安全事件，迅速评估事件的严重程度和影响范围。
3. 隔离与控制 ：立即隔离受影响的服务器或系统，防止事件进一步扩散。
4. 修复与恢复 ：分析安全事件的原因，采取相应的措施修复漏洞，并恢复受影响的系统和数据。
5. 总结与改进 ：对安全事件进行总结，分析事件发生的原因和处理过程中的不足之处，改进安全措施和应急响应机制。

12. 未来安全趋势与应对策略

随着技术的不断发展，CGI 脚本面临的安全威胁也在不断变化。以下是一些未来可能出现的安全趋势及相应的应对策略：
- 人工智能攻击 ：攻击者可能会利用人工智能技术进行自动化攻击，如生成更复杂的恶意代码。应对策略是加强人工智能安全研究，开发基于人工智能的安全防护系统。
- 物联网设备攻击 ：随着物联网设备的普及，这些设备可能成为攻击的目标，进而影响与之相连的 CGI 脚本和服务器。应对策略是加强物联网设备的安全管理，确保其与服务器的连接安全。
- 量子计算威胁 ：量子计算技术的发展可能会使现有的加密算法失效。应对策略是研究和应用量子加密技术，保障数据的安全性。

13. 总结

保障 CGI 脚本安全是一个系统工程，需要从多个方面入手，包括服务器基础安全设置、软件更新、脚本存储、文件权限管理、关闭不利安全选项、防范常见安全漏洞、培养安全意识、建立应急响应机制等。同时，要关注未来的安全趋势，及时调整安全策略，以应对不断变化的安全威胁。通过全面、持续的安全保障措施，可以有效保护网站和服务器的安全，为用户提供可靠的服务。

在实际操作中，要严格按照安全规范进行，定期检查和更新安全措施，不断提高安全防护能力。只有这样，才能在复杂的网络环境中确保 CGI 脚本的安全运行，为企业和用户的利益保驾护航。