Web серверлер мен сыртқы бағдарламалар арасындағы интерфейс: CGI

Кіріспе

Веб-серверлер мен сыртқы бағдарламалар арасындағы интерфейс

Компьютерлік есептемелерде, Common Gateway Interface (CGI) – веб-серверлерге HTTP немесе HTTPS пайдаланушы сұраныстарын өңдеу үшін сыртқы бағдарламаны іске қосуға мүмкіндік беретін интерфейс спецификациясы. Мұндай бағдарламалар көбінесе скрипт тілінде жазылады және әдетте CGI скрипттері деп аталады, бірақ олар компиляцияланған бағдарламаларды да қамтуы мүмкін. Типик қолданыс жағдайы – веб-пайдаланушы CGI қолданатын веб-бетте веб-форманы жіберген кезде туындайды. Форманың деректері веб-серверге CGI скриптін көрсететін URL мекенжайы бар HTTP сұранысы арқылы жіберіледі. Веб-сервер жаңа компьютерлік процесте CGI скриптін іске қосып, оған форма деректерін жібереді. CGI скрипті өзінің нәтижесін, әдетте HTML түрінде, веб-серверге қайтарады, ал сервер оны браузердің сұрауына жауап ретінде браузерге жібереді. 1990 жылдардың басында жасалған CGI веб-беттің интерактивті болуына мүмкіндік берген алғашқы кең таралған әдіс болды. Клиенттен сұраныс келген сайын CGI скрипттерін әрқашан жеке процесте іске қосу қажеттілігіне байланысты, түрлі баламалар әзірленді.

Тарих

1993 жылы Ұлттық суперкомпьютерлік қосымшалар орталығы (NCSA) командасы www talk пошталық тізімінде командалық жолды орындауға шақырудың ерекшеліктерін жазды. Басқа веб-серверлерді жасаушылар оны қабылдады және ол уақыттан бері веб-серверлер үшін стандарт болып табылады. Кен Коар төрағалық еткен жұмыс тобы 1997 жылдың қарашасында NCSA-ның CGI анықтамасын формальды түрде анықтауға кірісті. Бұл жұмыс RFC 3875-те пайда болды, онда CGI 1.1 нұсқасы көрсетілген. RFC-де келесі үлескерлер нақты аталады: Мысалы, егер веб-серверде толық білікті домен атауы www.example.com болса, және оның құжат жинағы жергілікті файл жүйесінде /usr/local/apache/htdocs/ (оның құжат түбірі) сақталады, содан кейін веб-сервер http://www.example.com/index.html сұрауына /usr/local/apache/htdocs/index.html файлының көшірмесін браузерге жібереді (егер ол бар болса). Ұшқанда құрылатын беттер үшін серверлік бағдарламалық қамтамасыз ету бағдарламаларды бөлектеу туралы сұрауларды кейінге қалдырып, нәтижелерді сұрау салушы клиентке (әдетте, бетті соңғы пайдаланушыға көрсететін веб-браузерге) жібере алады. Мұндай бағдарламаларға әдетте сұрау салумен бірге сұрау саптары немесе cookie файлдары сияқты қосымша ақпараттар қажет. Керісінше, қайтару кезінде скрипт HTTP-ге сұранысқа жауап беру үшін қажетті барлық ақпаратты: сұраныстың HTTP-күйін, құжат мазмұнын (бар болса), құжат түрін (мысалы, HTML, PDF немесе жай мәтін) және т.б. ұсынуы керек. Бастапқыда браузер, ол қарым-қатынас жасайтын HTTP сервері және деректерді өңдеуге және ақыр соңында браузерге нәтиже қайтаруға күтілетін сервердегі скрипттер арасында деректер алмасудың стандартталған әдістері болмаған. Нәтижесінде әртүрлі HTTP серверлері арасында өзара үйлеспеушіліктер болды, бұл скрипт тасымалдауға кедергі келтірді. Бұл мәселені мойындау деректерді алмасудың нақтылауына әкелді, нәтижесінде CGI жасалды. CGI ерекшелігіне сәйкес келетін серверлік бағдарламалық жасақтамамен шақырылған веб-беттерді құру бағдарламалары CGI скрипттері деп аталады, тіпті олар шын мәнінде скриптілік емес тілдерде жазылған болса да, мысалы C. CGI ерекшелігі тез қабылданған және Apache, Microsoft IIS және (ұзартумен) Node.js негізделген серверлер сияқты барлық белгілі HTTP серверлік пакеттер қолдауымен жалғасуда. CGI скрипттерін бастапқыда нысандарды өңдеу үшін қолданған. HTML-нің басында HTML формаларында әдетте "action" атрибуты және "submit" батырмасы ретінде белгіленген батырма болған. "Submit" батырмасын басқан кезде "action" атрибутында көрсетілген URI сұраныс тізбегі ретінде жіберілген нысандағы деректермен серверге жіберіледі. Егер "action" CGI скриптін белгілесе, онда CGI скрипті орындалады, скрипт өз кезегінде HTML бетті жасайды.

In 1993, the National Center for Supercomputing Applications (NCSA) team wrote the specification for calling command line executables on the www talk mailing list. The other Web server developers adopted it, and it has been a standard for Web servers ever since. A work group chaired by Ken Coar started in November 1997 to get the NCSA definition of CGI more formally defined. This work resulted in RFC 3875, which specified CGI Version 1.1. Specifically mentioned in the RFC are the following contributors: For example, if a web server has the fully qualified domain name www. example. com, and its document collection is stored at /usr/local/apache/htdocs/ in the local file system (its document root), then the web server will respond to a request for http://www. example. com/index. html by sending to the browser a copy of the file /usr/local/apache/htdocs/index. html (if it exists). For pages constructed on the fly, the server software may defer requests to separate programs and relay the results to the requesting client (usually, a Web browser that displays the page to the end user). Such programs usually require some additional information to be specified with the request, such as query strings or cookies. Conversely, upon returning, the script must provide all the information required by HTTP for a response to the request: the HTTP status of the request, the document content (if available), the document type (e. g. HTML, PDF, or plain text), et cetera. Initially, there were no standardized methods for data exchange between a browser, the HTTP server with which it was communicating and the scripts on the server that were expected to process the data and ultimately return a result to the browser. As a result, mutual incompatibilities existed between different HTTP server variants that undermined script portability. Recognition of this problem led to the specification of how data exchange was to be carried out, resulting in the development of CGI. Web page generating programs invoked by server software that adheres to the CGI specification are known as CGI scripts, even though they may actually have been written in a non scripting language, such as C.

The CGI specification was quickly adopted and continues to be supported by all well known HTTP server packages, such as Apache, Microsoft IIS, and (with an extension) node. js based servers. An early use of CGI scripts was to process forms. In the beginning of HTML, HTML forms typically had an "action" attribute and a button designated as the "submit" button. When the submit button is pushed the URI specified in the "action" attribute would be sent to the server with the data from the form sent as a query string. If the "action" specifies a CGI script then the CGI script would be executed, the script in turn generating an HTML page.

Қатысу

CGI қолдауы бар веб-серверді, оның қызмет ететін URL-ін CGI скриптіне сілтеме ретінде түсіндіру үшін конфигурациялауға болады. Көптеген жағдайларда, каталог ағашының түбінде cgi-bin/ каталогы болады және осы каталогтағы барлық орындалатын файлдар (және басқа ешқандай файл емес, қауіпсіздік үшін) CGI скрипттері ретінде қарастырылады. Веб-браузер CGI каталогындағы файлға сілтеме беретін URL-ді сұрағанда (мысалы, http://example.com/cgi-bin/printenv.pl/with/additional/path?and=a&query=string), HTTP сервері сол файлды (/usr/local/apache/htdocs/cgi-bin/printenv.pl) веб-браузерге жібермей, көрсетілген скриптті орындайды және скрипттің нәтижесін веб-браузерге жібереді. Яғни, скрипт стандартты шығысқа жіберген кез келген мәлімет веб-серверді іске қосқан терминал терезесінде көрсетілмей, веб-клиентке беріледі. Тағы бір кең таралған тәсіл – файлдың кеңейтімін пайдалану. Мысалы, егер CGI скрипттеріне әрдайым cgi кеңейтімі берілсе, веб-сервер осындай барлық файлдарды CGI скрипттері ретінде түсіндіруге конфигурациялануы мүмкін. Бұл ыңғайлы, сондай-ақ көптеген алдын ала дайындалған скрипттерде қажет, бірақ егер қашықтан қолданушы дұрыс кеңейтіммен орындалатын кодты жүктей алса, ол серверді шабуылға ұшыратуы мүмкін. CGI спецификациясы сұраныспен бірге жіберілген қосымша ақпараттың скриптке қалай берілетінін анықтайды. Веб-сервер орта айнымалыларының бір бөлігін жасайды және HTTP ортасына қатысты деректерді қосады. Мысалы, егер URL-дің скрипт атауынан кейін бірден коса сызық пен қосымша каталогтардың атаулары қосылса (бұл мысалда, /with/additional/path), онда бұл жол скрипт шақырылғанға дейін PATH_INFO орта айнымалысында сақталады. Егер параметрлер HTTP GET сұранысы арқылы скриптке жіберілсе (URL-ге сұрақ белгісі қосылып, содан кейін param=value жұптары; мысалы, ?and=a&query=string), онда бұл параметрлер скрипт шақырылғанға дейін QUERY_STRING орта айнымалысында сақталады. HTTP POST сұранысы арқылы жіберілген форма параметрлері сияқты HTTP хабарламасының мәтіні скрипттің стандартты кірісіне жіберіледі. Скрипт осы орта айнымалыларын немесе стандартты кірістен алынған деректерді оқи алады және веб-браузердің сұранысына бейімделеді.

A Web server that supports CGI can be configured to interpret a URL that it serves as a reference to a CGI script. A common convention is to have a cgi bin/ directory at the base of the directory tree and treat all executable files within this directory (and no other, for security) as CGI scripts. When a Web browser requests a URL that points to a file within the CGI directory (e. g., http://example. com/cgi bin/printenv. pl/with/additional/path?and=a&query=string), then, instead of simply sending that file (/usr/local/apache/htdocs/cgi bin/printenv. pl) to the Web browser, the HTTP server runs the specified script and passes the output of the script to the Web browser. That is, anything that the script sends to standard output is passed to the Web client instead of being shown in the terminal window that started the web server. Another popular convention is to use filename extensions; for instance, if CGI scripts are consistently given the extension cgi, the Web server can be configured to interpret all such files as CGI scripts. While convenient, and required by many prepackaged scripts, it opens the server to attack if a remote user can upload executable code with the proper extension. The CGI specification defines how additional information passed with the request is passed to the script. The Web server creates a subset of the environment variables passed to it and adds details pertinent to the HTTP environment. For instance, if a slash and additional directory name(s) are appended to the URL immediately after the name of the script (in this example, /with/additional/path), then that path is stored in the PATH INFO environment variable before the script is called. If parameters are sent to the script via an HTTP GET request (a question mark appended to the URL, followed by param=value pairs; in the example, ?and=a&query=string), then those parameters are stored in the QUERY STRING environment variable before the script is called. Request HTTP message body, such as form parameters sent via an HTTP POST request, are passed to the script's standard input. The script can then read these environment variables or data from standard input and adapt to the Web browser's request.

Қолданылуы

CGI көбінесе пайдаланушыдан кіріс ақпаратты өңдеу және тиісті нәтижені шығару үшін қолданылады. Мысалы, викиді іске асыратын бағдарлама – CGI бағдарламасы болып табылады. Егер пайдаланушы агенті жазбаның атын сұраса, веб-сервер CGI бағдарламасын іске қосады. CGI бағдарламасы сол жазбаның бетінің бастапқы кодын (егер бар болса) алады, оны HTML форматына түрлендіреді және нәтижені шығарады. Веб-сервер CGI бағдарламасынан алынған нәтижені қабылдайды және оны пайдаланушы агентіне жібереді. Пайдаланушы агенті "Бетті өңдеу" батырмасын басқанда, CGI бағдарламасы HTML мәтіндік өрісін немесе басқа өңдеу құралын беттің мазмұнымен толтырады. Соңында, егер пайдаланушы агенті "Бетті жариялау" батырмасын басқанда, CGI бағдарламасы жаңартылған HTML кодын сол жазбаның бетінің бастапқы кодына түрлендіріп, сақтайды.

Қауіпсіздік

CGI бағдарламалары әдетте веб-сервердің қауіпсіздік контекстінде орындалады. Алғаш пайда болғанда, NCSA, Apache және CERN веб-серверлерінің бастапқы дистрибутивтерімен бірге жаңа CGI-ді пайдалану үшін қабық скрипттерін немесе C бағдарламаларын қалай жазуға болатынын көрсету мақсатында бірнеше мысал скрипттері ұсынылды. Мұндай скрипттердің бірі – қарапайым телефон анықтамасын іске асырған PHF деп аталатын CGI бағдарламасы. Көптеген басқа скрипттер сияқты, бұл скрипт те escape shell cmd функциясын қолданды. Бұл функция пайдаланушы енгізген деректерді тазалауға және осы деректерді веб-сервердің қауіпсіздік контекстінде орындалу үшін Unix қабығына жіберуге арналған еді. Бірақ скрипт барлық деректерді дұрыс тазаламады және қабыққа жаңа жолдарды жіберуге мүмкіндік берді, бұл бірнеше команданы орындауға әкеп соқты. Осы командалардың нәтижелері веб-серверде көрсетілді. Егер веб-сервердің қауіпсіздік контексі рұқсат берсе, шабуылшылар зиянды командаларды орындай алатын еді. Бұл веб-серверде кодты орындауға мүмкіндік беретін, веб-пайдаланушылардан алынған тазаланбаған деректер арқылы жасалатын код инъекциясы деп аталатын жаңа типтегі веб-шабуылдың алғашқы кең таралған мысалы болды. Мысал код әдепкі бойынша орнатылғандықтан, шабуылдар кеңінен тарады және 1996 жылдың басында бірқатар қауіпсіздік ескертулеріне әкелді.