CGIプログラムについてお聞きします。人力検索はてな人力検索はてなモバイル版を表示しています。CGIプログラムについてお聞きします。例)http://www.testtest.com/test.cgiそのCGIプログラムソース(この場合はtest.cgi)をダウンロードする方法はあるのでしょうか?もし、ダウンロードできるならば、それらを阻止する方法を教えてください。▽最新の回答へ▽1●katsube●20ポイントダウンロードというか、他人に閲覧されてしまう危険性があるかというお話ですよね?○Webサーバの設定がおかしいCGIが動作する設定がなされていない場合は、ソースがそのまま表示されるケースがあります。これが流石に気がつくと思いますが、たとえば事故が発生した際に一時的に閲覧が可能なるということは考えられます。※以前、http://mixi.jpで起こりましたよね。○セキュリティホールをつかれる処理の甘いCGIなどを経由して、他のファイルを閲覧される危険性はあります。以下のように何も制限をかけずにファイルを表示するようなプログラムが置かれていた場合、これを経由して閲覧が可能になります。view.cgi?file=/home/hoge/huga.cgi実際にはもう少し込み入った事例になるかと思いますが。○共有サーバの設定がゆるいFTPなどでログインした際に、他のユーザーのディレクトリが覗ける場合、パーミションの設定によっては閲覧、それこそダウンロードが可能になります。そこまでセキュリティレベルの低い業者はあまりいないとは思いますがご注意を。◎質問者からの返答ありがとうございます。一番目の例はパーミッションをきちんと755にしておけば、CGIが動作するので問題ない(とりあえずは)ということですね。3番目の問題は、レンサバ業者の問題になってくるのでしょうか?XREAをつかっているので、問題ないかなー(たぶん)と思います。疑問におもったのが2番目です。view.cgi?file=/home/hoge/huga.cgiというのは、view.cgiというファイルを閲覧する為に作られたCGIでしょうか?だとすれば、閲覧するためのCGIを作っていなければOKと考えて良いのでしょうか?▽2●まきのっぴ●20ポイントそのようなことは通常できません。パスワードが容易に類推できたり等の脆弱性があればまた話は別ですが)http://japan.cnet.com/news/sec/story/0,2000056024,20082116,00.ht...◎質問者からの返答ありがとうございました!安心しました!▽3●KUROX●20ポイント>そのCGIプログラムソース(この場合はtest.cgi)をダウン>ロードする方法はあるのでしょうか?http://www.testtest.com/test.cgiにアクセスしてtest.cgiが実行されるのなら、ダウンロードする方法は基本的にない。http://tech.bayashi.net/faq/plfile.html◎質問者からの返答ありがとうございました。した疑問でしたので、、、。▽4●katsube●20ポイント他の方が書かれているとおり通常はないんですけどね。通常ではない場合に十分起こりえます。すれば、閲覧するためのCGIを作っていなければOKと考えて良いのでしょうか?いえ。外部からファイル名またはキーワードを受け取って、そのファイルを開く処理を行うプログラムの場合、閲覧が可能になる場合があります。※表示する、しないに関わらず。OSコマンドインジェクションと呼ばれるアタックの手法ですので、色々とググッって見られると良いかと思います。http://www.atmarkit.co.jp/fsecurity/rensai/webhole13/webhole02.h...対策は、入力チェックを厳密に行うくらいでしょうか。◎質問者からの返答こんな方法があったんですね、、、。サイト、参考に致します。ありがとうございました。▽5●b-wind●20ポイントつまり、一番目の例はパーミッションをきちんと755にしておけば、CGIが動作するので問題ない(とりあえずは)ということですね。あるとサーバー側で関連付けられているが、これがない場合はテキストファイルとして扱われる。この場合実行パーミッションは関係ない。◎質問者からの返答ありがとうございます。サーバー側でCGIは「動かすプログラムですよ」と設定しているから安全なのですね。関連質問$ENV{'REMOTE_USER'}はhttp://q.hatena.ne.jp/1132444049を見て...解決に至った回答には300ポイント差し上げます。□はてなトップ(C)株式会社はてな。