[이쁜집] SSI (shtml) 관련 (2)

안녕하세요?
솔바우 이경 입니다.

아래는 SSI에 대하여 김정겸님께서 코넷메일링에 올린 글입니다.
참고하세요.

From - Thu Mar 06 00:02:16 1997
Date: Wed, 05 Mar 1997 23:38:47 +0000
From: Jung-gyum Kim

아래 조찬묵님 스크립트에서 몇가지 덧붙여봅니다.

ChahnMook Cho wrote:
> 우선 web-home 디렉토리에서
> soback>echo 0 >.num ( 접속한 사람들의 수를 보관하는 파일에 초기치 0 입력)
> soback>chmod 777 .num ( 누구나 사용 가능하게 mode 를 변경 )

위험하기는 하지만 별다른 방법이 없으니 그대로 해야겠죠.

> count 라는 파일에 다음과 같이 씁니다.
> #!/bin/sh
>
> ln -s .num .tmp && (\
> NUM=`cat .num`;\
> expr $NUM + 1 > .num;\
> rm .tmp;\
> echo $NUM
> )

여기에서 한가지, .tmp 라는 링크를 만들어서, 동시에 카운터 데이터파일을
수정하려고 하는 경우에 에러가 나도록 되어 있죠. 그런데 조금 신경을 쓰면
바로 에러가 나고 종료하는 것이 아니라, 시간을 조금 더 기다리게 하는
방법도 있습니다. 0.2초만 기다리게 해도 충분할 겁니다.

그런데 심볼릭링크를 만들어서 동시 접근을 막는 방법은 좋은 아이디어
같네요. :-)

>
> 그리고
>
> soback>chmod 733 count ( 누구나 실행가능하게 mode 변경 )
> soback>cd ..
> soback>chmod 777 web-home ( 자신의 web-home 디렉토리의 접근권한을
> 이렇게 해도 안전한 것인가요 ? 여쭤보고 싶군요 )

위험한 부분이 이 부분입니다. chmod 733 count 하시면 count 라는 파일을
누구나 수정할 수 있습니다. 누구나 실행가능하게 하려면 chmod 711 이나
chmod 755정도가 적당합니다. 아니면 chmod 701, chmod 705로 해도 됩니다.
( 같은 그룹의 유저에게는 권한을 줄 필요가 전혀 없죠. 어차피 웹서버는
nobody 의 권한으로 작동합니다. )

그리고 chmod 777 web-home 하시면 아무나 찬묵님의 홈페이지 디렉토리를
건드릴 수 있습니다. ( 그리고 web-home 이라는 디렉토리의 퍼미션을
수정하기 위해서 상위디렉토리로 이동할 필요는 없습니다. web-home
디렉토리 안에서 그냥 chmod 777 . 이라고 하면 되죠. )

만일 누가 count파일을 적당히 수정하면 찬묵님 홈페이지에서 카운터가
들어간 곳은 모두 엉망으로 만들어버릴 수 있습니다.

적당한 방법은
1. chmod 606 .tmp
2. chmod 701 count
3. chmod 701 web-home
입니다. web-home 디렉토리의 퍼미션과 SSI 카운터와는 아무 상관이
없습니다.

count 스크립트를 setuid 스크립트로 만들어도 될 듯한테
SSI에서 setuid가 되는지는 확인하지 못했습니다. 그리고 shell script
는 가능하면 setuid 스크립트로 만들지 않는게 좋죠.

--
--------------------------------------------------------
Jung-gyum Kim 김 정 겸
--------------------------------------------------------
Seoul National University Physics Dept. Under. '95
E-mail: mailto:aragorn@soback.kornet.nm.kr
URL : http://soback.kornet.nm.kr/~aragorn/
Hitel : aragorn NowNuri : aragorn
--------------------------------------------------------