免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
› 论坛 › IT运维 › 服务器应用 › Boa Web Server 缺陷报告及其修正方法
12下一页
最近访问板块 发新帖
查看: 25309 | 回复: 10
打印 上一主题 下一主题

[Web] Boa Web Server 缺陷报告及其修正方法 [复制链接]

newzy

论坛徽章:
0
跳转到指定楼层
1楼 [收藏(0)] [报告]
发表于 2006-09-07 17:18 |只看该作者 |倒序浏览
综述

Boa 作为一种轻巧实用的 WEB 服务器广泛应用于嵌入式设备上,
但 Boa 对实现动态网页的 CGI  的支持上仍存在一些缺陷,
本文描述了 Boa 对 CGI 的 Status/Location 的支持的缺陷及其修正方法.


版本: 所有版本 (0.94.13)
缺陷: BOA 解析 CGI 应答头时不能完整处理 Status 和 Location
缺陷描述:
CGI/1.1 标准规定, CGI 脚本可以通过 Status 设置 HTTP 应答状态(如, Status: 500 Internal Error) 和
Location 进行地址重定向 (如, Location: www.xxx.com), 而不管它们在应答头中的位置.
Boa 支持 Stauts 和 Location 两种应答头, 但它的实现仅能正确处理 Stauts 和 Location 在应答第一行的
CGI 应答. 这将给 CGI 程序的移植带来很多不便, 进而影响 Boa 作为Web Server 的功能的发挥.

影响功能:
ASP/PHP/JSP/Perl/... 等的 header, redirect, ... 等都会应用到 Stauts/Location 进行设置应答状态和
地址重定向. Boa 的该实现将影响 CGI 脚本正常功能的使用.

缺陷功能对比(对Status/Location的支持程序):
Apache 1.3.x/2.x         IIS 4.x/5.x/6.X        Boa 0.9x                 thttpd                 mini-httpd
完全支持                        完全支持                * 部分支持                 完全支持               完全支持

[ 本帖最后由 newzy 于 2006-9-7 18:02 编辑 ]
newzy

论坛徽章:
0
2楼 [报告]
发表于 2006-09-07 17:51 |只看该作者

缺陷分析

缺陷分析

CGI 应用程序进行应答时, 可以 HTTP 头进行有限的控制. 如,设置客户端不缓存页面可用下面的 C 脚本,
HTTP/1.0: printf("Pragma: no-cache\n"); 或
HTTP/1.1: printf("Cache-Control: no-cache; no-store\n");
如果, 同时还需要告诉浏览器进行设置 Cookie 和控制相应状态(200 OK) 或地址重定向,
那么就必须输出多行 http 头控制语句, CGI 支持两个解析头 "Status: " 和 "Loction: ",
即协议规定, Web 服务器支持解析头时能使用 "Status: " 进行应答状态控制, 使用 "Location: " 进行地址重定向,
并为应答添加状态头 "HTTP/1.0 302 Moved Temporarily\n" 或 "HTTP/1.1 302 Found\n".
而不管它们在 CGI 应答头的什么位置.

分析 Boa Source Code:
cgi_header.c  Line 82-136 容易发现, Boa 只解析 CGI 应答的第一行, 是否为 "Status: ", "Location: ", 如下所示


  2. 23
  3. 24         int process_cgi_header(request * req)
  4. 25         {
  5. 26             char *buf;
  6. 27             char *c;
  7. 28        
  8. 29             if (req->cgi_status != CGI_DONE)
  9. 30                 req->cgi_status = CGI_BUFFER;
  10. 31        
  11. 32             buf = req->header_line;
  12. 33        
  13. 34             c = strstr(buf, "\n\r\n");
  14. 35             if (c == NULL) {
  15. 36                 c = strstr(buf, "\n\n");
  16. 37                 if (c == NULL) {
  17. 38                     log_error_time();
  18. 39                     fputs("cgi_header: unable to find LFLF\n", stderr);
  19. 40         #ifdef FASCIST_LOGGING
  20. 41                     log_error_time();
  21. 42                     fprintf(stderr, "\"%s\"\n", buf);
  22. 43         #endif
  23. 44                     send_r_bad_gateway(req);
  24. 45                     return 0;
  25. 46                 }
  26. 47             }
  27. 48             if (req->simple) {
  28. 49                 if (*(c + 1) == '\r')
  29. 50                     req->header_line = c + 2;
  30. 51                 else
  31. 52                     req->header_line = c + 1;
  32. 53                 return 1;
  33. 54             }
  34. 55             if (!strncasecmp(buf, "Status: ", 8)) {
  35. 56                 req->header_line--;
  36. 57                 memcpy(req->header_line, "HTTP/1.0 ", 9);
  37. 58             } else if (!strncasecmp(buf, "Location: ", 10)) { /* got a location header */
  38. 59         #ifdef FASCIST_LOGGING
  39. 60        
  40. 61                 log_error_time();
  41. 62                 fprintf(stderr, "%s:%d - found Location header \"%s\"\n",
  42. 63                         __FILE__, __LINE__, buf + 10);
  43. 64         #endif
  44. 65        
  45. 66        
  46. 67                 if (buf[10] == '/') {   /* virtual path */
  47. 68                     log_error_time();
  48. 69                     fprintf(stderr,
  49. 70                             "server does not support internal redirection: " \
  50. 71                             "\"%s\"\n", buf + 10);
  51. 72                     send_r_bad_request(req);
  52. 73        
  53. 74                     /*
  54. 75                      * We (I, Jon) have declined to support absolute-path parsing
  55. 76                      * because I see it as a major security hole.
  56. 77                      * Location: /etc/passwd or Location: /etc/shadow is not funny.
  57. 78                      *
  58. 79                      * Also, the below code is borked.
  59. 80                      * request_uri could contain /cgi-bin/bob/extra_path
  60. 81                      */
  61. 82        
  62. 83                     /*
  63. 84                        strcpy(req->request_uri, buf + 10);
  64. 85                        return internal_redirect(req);
  65. 86                      */
  66. 87                 } else {                /* URL */
  67. 88                     char *c2;
  68. 89                     c2 = strchr(buf + 10, '\n');
  69. 90                     /* c2 cannot ever equal NULL here because we already have found one */
  70. 91        
  71. 92                     --c2;
  72. 93                     while (*c2 == '\r')
  73. 94                         --c2;
  74. 95                     ++c2;
  75. 96                     /* c2 now points to a '\r' or the '\n' */
  76. 97                     *c2++ = '\0';       /* end header */
  77. 98        
  78. 99                     /* first next header, or is at req->header_end */
  79. 100                    while ((*c2 == '\n' || *c2 == '\r') && c2 < req->header_end)
  80. 101                        ++c2;
  81. 102                    if (c2 == req->header_end)
  82. 103                        send_r_moved_temp(req, buf + 10, "");
  83. 104                    else
  84. 105                        send_r_moved_temp(req, buf + 10, c2);
  85. 106                }
  86. 107                req->status = DONE;
  87. 108                return 1;
  88. 109            } else {                    /* not location and not status */
  89. 110                char *dest;
  90. 111                int howmuch;
  91. 112                send_r_request_ok(req); /* does not terminate */
  92. 113                /* got to do special things because
  93. 114                   a) we have a single buffer divided into 2 pieces
  94. 115                   b) we need to merge those pieces
  95. 116                   Easiest way is to memmove the cgi data backward until
  96. 117                   it touches the buffered data, then reset the cgi data pointers
  97. 118                 */
  98. 119                dest = req->buffer + req->buffer_end;
  99. 120                if (req->method == M_HEAD) {
  100. 121                    if (*(c + 1) == '\r')
  101. 122                        req->header_end = c + 2;
  102. 123                    else
  103. 124                        req->header_end = c + 1;
  104. 125                    req->cgi_status = CGI_DONE;
  105. 126                }
  106. 127                howmuch = req->header_end - req->header_line;
  107. 128       
  108. 129                if (dest + howmuch > req->buffer + BUFFER_SIZE) {
  109. 130                    /* big problem */
  110. 131                    log_error_time();
  111. 130             fprintf(stderr, "Too much data to move! Aborting! %s %d\n",
  112. 131                    __FILE__, __LINE__);
  113. 132              /* reset buffer pointers because we already called
  114. 133                 send_r_request_ok... */
  115. 134              req->buffer_start = req->buffer_end = 0;
  116. 135              send_r_error(req);
  117. 136              return 0;
  118. 137          }
  119. 138          memmove(dest, req->header_line, howmuch);
  120. 139          req->buffer_end += howmuch;
  121. 140          req->header_line = req->buffer + req->buffer_end;
  122. 141          req->header_end = req->header_line;
  123. 142          req_flush(req);
  124. 143          if (req->method == M_HEAD)
  125. 144              return 0;
  126. 145      }
  127. 146      return 1;
  128. 147  }
  129. 148
  130. 149
复制代码
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
newzy

论坛徽章:
0
3楼 [报告]
发表于 2006-09-07 17:58 |只看该作者
修正方法

CGI 应答头包括多行, 我们必须对其进行逐行分析, 并作出正确的应答.
下面是修改好的源程序, 即将原来的 82-136 (即相当下文#else, #endif内部分) 替换成如下代码:



  3. #if 1
  4.     while(1) {
  5.                 int         len;
  6.                 char *        pnext = NULL;
  7.                 char *         ptmp = NULL;
  8.        
  9.                 /* not find HTTP header tailer */
  10.                 if (NULL == (pnext=strchr(buf, '\n')))        /* has no '\n' */
  11.                         break;
  12.                
  13.                 /* the length of this line,  
  14.                  * include '\n'
  15.                  */
  16.                 len = pnext - buf + 1;       

  18.                 if (!strncasecmp(buf, "Location: ", 10)) {        /* got a location header */
  19.                     /* not the first one
  20.                      * exchange this line to the first line
  21.                      */
  22.                     if (buf != req->header_line)
  23.                         {                   
  24.                                 if (NULL == (ptmp=(char *)malloc(len)))
  25.                         {
  26.                                 log_error_time();
  27.                                 perror("malloc");
  28.                             send_r_error(req);
  29.                             return 0;
  30.                         }
  31.                 
  32.                         /* move Status: to line header */
  33.                         memcpy(ptmp, buf, len);
  34.                         memmove(req->header_line+len, req->header_line, buf-req->header_line);      
  35.                         memcpy(req->header_line, ptmp, len);
  36.                         free(ptmp);
  37.                     }
  38.                     
  39.                     /* force pointer header */
  40.                     buf = req->header_line;
  41.                     
  42. #ifdef FASCIST_LOGGING
  43.        
  44.                 log_error_time();
  45.                 fprintf(stderr, "%s:%d - found Location header \"%s\"\n",
  46.                         __FILE__, __LINE__, buf + 10);
  47. #endif
  48.        
  49.        
  50.                 if (buf[10] == '/') {   /* virtual path */
  51.                     log_error_time();
  52.                     fprintf(stderr,
  53.                             "server does not support internal redirection: " \
  54.                             "\"%s\"\n", buf + 10);
  55.                     send_r_bad_request(req);
  56.        
  57.                     /*
  58.                      * We (I, Jon) have declined to support absolute-path parsing
  59.                      * because I see it as a major security hole.
  60.                      * Location: /etc/passwd or Location: /etc/shadow is not funny.
  61.                      *
  62.                      * Also, the below code is borked.
  63.                      * request_uri could contain /cgi-bin/bob/extra_path
  64.                      */
  65.        
  66.                     /*
  67.                        strcpy(req->request_uri, buf + 10);
  68.                        return internal_redirect(req);
  69.                      */
  70.                 } else {                /* URL */
  71.                     char *c2;
  72.                     c2 = strchr(buf + 10, '\n');
  73.                     /* c2 cannot ever equal NULL here because we already have found one */
  74.        
  75.                     --c2;
  76.                     while (*c2 == '\r')
  77.                         --c2;
  78.                     ++c2;
  79.                     /* c2 now points to a '\r' or the '\n' */
  80.                     *c2++ = '\0';       /* end header */
  81.        
  82.                     /* first next header, or is at req->header_end */
  83.                     while ((*c2 == '\n' || *c2 == '\r') && c2 < req->header_end)
  84.                         ++c2;
  85.                     if (c2 == req->header_end)
  86.                         send_r_moved_temp(req, buf + 10, "");
  87.                     else
  88.                         send_r_moved_temp(req, buf + 10, c2);
  89.                 }
  90.                 req->status = DONE;
  91.                 return 1;
  92.             }  else if (!strncasecmp(buf, "Status: ", 8)) {
  93.                     /* not the first one
  94.                      * exchange this line to the first line
  95.                      */
  96.                     if (buf != req->header_line)
  97.                         {                   
  98.                                 if (NULL == (ptmp=(char *)malloc(len)))
  99.                         {
  100.                                 log_error_time();
  101.                                 perror("malloc");
  102.                             send_r_error(req);
  103.                             return 0;
  104.                         }
  105.                 
  106.                         /* move Status: to line header */
  107.                         memcpy(ptmp, buf, len);
  108.                         memmove(req->header_line+len, req->header_line, buf-req->header_line);      
  109.                         memcpy(req->header_line, ptmp, len);
  110.                         free(ptmp);
  111.                     }
  112.                     
  113.                 req->header_line--;
  114.                 memcpy(req->header_line, "HTTP/1.0 ", 9);
  115.                 return 1;
  116.             }
  117.             
  118.             /* pointer to next line */
  119.             buf = pnext + 1;
  120.             
  121.             /* reach the end of HTTP header */
  122.             if ('\0' == buf[0] || '\n' == buf[0] || '\r' == buf[0])
  123.                     break;
  124.         }
  125.        
  126.     if (1) {        /* always done */
  127. #else
  128.     if (!strncasecmp(buf, "Status: ", 8)) {
  129.         req->header_line--;
  130.         memcpy(req->header_line, "HTTP/1.0 ", 9);
  131.     } else if (!strncasecmp(buf, "Location: ", 10)) { /* got a location header */
  132. #ifdef FASCIST_LOGGING

  134.         log_error_time();
  135.         fprintf(stderr, "%s:%d - found Location header \"%s\"\n",
  136.                 __FILE__, __LINE__, buf + 10);
  137. #endif


  140.         if (buf[10] == '/') {   /* virtual path */
  141.             log_error_time();
  142.             fprintf(stderr,
  143.                     "server does not support internal redirection: " \
  144.                     "\"%s\"\n", buf + 10);
  145.             send_r_bad_request(req);

  147.             /*
  148.              * We (I, Jon) have declined to support absolute-path parsing
  149.              * because I see it as a major security hole.
  150.              * Location: /etc/passwd or Location: /etc/shadow is not funny.
  151.              *
  152.              * Also, the below code is borked.
  153.              * request_uri could contain /cgi-bin/bob/extra_path
  154.              */

  156.             /*
  157.                strcpy(req->request_uri, buf + 10);
  158.                return internal_redirect(req);
  159.              */
  160.         } else {                /* URL */
  161.             char *c2;
  162.             c2 = strchr(buf + 10, '\n');
  163.             /* c2 cannot ever equal NULL here because we already have found one */

  165.             --c2;
  166.             while (*c2 == '\r')
  167.                 --c2;
  168.             ++c2;
  169.             /* c2 now points to a '\r' or the '\n' */
  170.             *c2++ = '\0';       /* end header */

  172.             /* first next header, or is at req->header_end */
  173.             while ((*c2 == '\n' || *c2 == '\r') && c2 < req->header_end)
  174.                 ++c2;
  175.             if (c2 == req->header_end)
  176.                 send_r_moved_temp(req, buf + 10, "");
  177.             else
  178.                 send_r_moved_temp(req, buf + 10, c2);
  179.         }
  180.         req->status = DONE;
  181.         return 1;
  182.     } else {                    /* not location and not status */
  183. #endif

复制代码
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
寂寞游侠

论坛徽章:
0
4楼 [报告]
发表于 2006-09-15 16:32 |只看该作者
老大..佩服中..顶一下..
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
hoho512

论坛徽章:
0
5楼 [报告]
发表于 2006-09-25 18:53 |只看该作者
厉害。。。。
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
langue

论坛徽章:
0
6楼 [报告]
发表于 2006-09-25 20:14 |只看该作者
我喜欢看unified diff……
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
小强_Sting

论坛徽章:
0
7楼 [报告]
发表于 2007-12-29 10:36 |只看该作者
好贴!!!!!!!!!!!!!!
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
tobealinuxer

论坛徽章:
0
8楼 [报告]
发表于 2012-04-01 22:44 |只看该作者
2006年9月，那年我刚上大学。。。2012年4月，我遇到了这个问题。。。
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
xuepeng531

论坛徽章:
0
9楼 [报告]
发表于 2012-04-25 16:48 |只看该作者
兄台！！！感谢啊！！！啥也不说了！！
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
zzy853

论坛徽章:
1
CU十二周年纪念徽章 日期:2013-10-24 15:41:34
10楼 [报告]
发表于 2014-06-05 12:19 |只看该作者
提示: 作者被禁止或删除 内容自动屏蔽
实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？
12下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

  

北京盛拓优讯信息技术有限公司. 版权所有 京ICP备16024965号-6 北京市公安局海淀分局网监中心备案编号：11010802020122 niuxiaotong@pcpop.com 17352615567
未成年举报专区
中国互联网协会会员  联系我们：huangweiwei@itpub.net
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP