[stalk:01347] cgiwrap を改造して、丈夫にする案

["K-IM" <k-imaiz@xxxxxxxxxxxxxxxxx>]

シルバーホテル今泉です。

cgiwrapd（デバッグモード)をどうしても使いつづけたい、
しかも、管理者だけではなく、一般ユーザにも使わせたい、
というケースがありうると思います。

ところで
interqで使われているcgiwrapは、改造がはいっているようです。
デバッグモードの出力を冒頭部分だけ書いてみると、通常、たとえば

Initializing Logging
Redirecting STDERR to STDOUT

Setting SIGXCPU to default behaviour

となっていると思います。

interqでは
この部分にかなり多めの文字列で、しかも
ユーザのブラウザからの差しこみによって
影響が出ないものを付加してあるようでして

Initializing Logging
Today is  '20020729'
hostname is  'cgi**.interq.net'
host is  'cgi**'
newconf is  '/var/***/********.log.cgi**.20020729'
CONF_LOG_LOGFILE is  '/var/***/********.log.cgi**.20020729'
Redirecting STDERR to STDOUT

Setting SIGXCPU to default behaviour

となっています。（一部伏字）

このように多量の文字を吐き出したあとに
（出きれば数百文字）
スクリプトの文字列を吐き出しても、それは
作動しないようなのです。

しっかりとした根拠をみつける努力をしたものの
私の調査不足で、理由が不明です。
ただ、経験上、そうなっているとしか、いいようが
ありません。

ちょっと根拠が弱いですが、
Cgiwrapのソースをいじって
花文字（バナー）を入れるとかで、体裁をととのえてやることにより
クロスサイトスクリプティング脆弱性の発現を抑止する選択枝も
ありうるなぁ、と思っております。

以上です。


--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--　　　　 ★「え？あの商品がこの値段♪」見てる人は『得』してる！
　　　　　　　　 http://ap.infoseek.co.jp/is_shop2.html