O apache ScriptAlias / cgi-bin / / usr / lib / cgi-bin / line deve ser removido em produção?

Question

Aqui está a parte da minha configuração atual do apache que se refere ao material cgi-bin. Esta informação foi incluída na configuração padrão no debian. Isso deve ser removido em uma máquina ao vivo / produção?

    ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/
    <Directory "/usr/lib/cgi-bin">
        AllowOverride None
        Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch
        Order allow,deny
        Allow from all
    </Directory>

    

Answer 1

Se você não estiver rodando nenhum CGI em / usr / lib / cgi-bin /, então é desnecessário. Dito isto, é uma máquina de produção, portanto, pise com cuidado.

    

Answer 2

Sim, ele deve ser removido em um sistema de produção - a menos que (obviamente) você o esteja usando. Se você não tem certeza, isso provavelmente significa que você não está usando.

Aqui está o porquê: Com essa configuração, cgi-bin/ aponta para /usr/lib/cgi-bin e o que estiver lá pode ser executado. É um diretório do sistema, então o que está lá geralmente depende do que você instalou usando o sistema de gerenciamento de pacotes do sistema. Qualquer software com uma interface web (como algum tipo de software de monitoramento ou gerenciamento) pode ter um arquivo de script cgi lá. Isso significa que a simples instalação desse programa é suficiente para que QUALQUER usuário que tenha acesso a esse servidor da Web (no caso de um servidor da Web público: todos) possa acessar essa interface da Web.

Suponha que você acabou de instalar algum tipo de software de gerenciamento de sistema que tenha uma interface web, na forma de um arquivo cgi em /usr/lib/cgi-bin e que tenha algo como "1234" como senha padrão. Para piorar as coisas, isso é em um servidor web público. Agora, todos podem abrir http://www.yourserver.com/cgi-bin/foowebadmin , fazer o login usando "1234" e alterar a configuração do sistema do seu servidor PRODUÇÃO.

É claro que, se você estiver usando esse recurso propositalmente, você terá cuidado com a segurança / autenticação adequada e assim por diante, tudo ficará bem.

    

Answer 3

Pessoalmente, eu sempre removo o vhost padrão que vem com o debian do diretório habilitado para sites. Eu também substituo o apache.conf por algo que é sensível ao nosso ambiente.

Esses são arquivos de configuração e o dpkg (backend para o apt-get) deve esperar que eles sejam alterados. Ferramentas como o fantoche rodam o apt-get de uma maneira que manterá a "configuração antiga" no caso de um pacote atualizar sua configuração, e se você executar o apt-get interativamente ele perguntará o que fazer se detectar uma mudança nos arquivos de configuração .

Isso é qualquer alteração não apenas um conflito que não pode ser mesclado automaticamente. Afinal, mesmo que pudesse ser mesclado, poderia gerar alguma configuração que você não deseja no seu sistema.

Para quebrar um flamewar (desculpe, isso deve realmente ser discutido em outro lugar, mas eu só preciso dizer isso): Minha opinião é que mesmo ao instalar um daemon, ele não deve ser iniciado automaticamente. Para qualquer site decente, a configuração padrão é quase sempre errada. (Sim, eu sei que posso definir opções do dpkg para que ele não seja iniciado, prefiro que seja o padrão)