Сам по себе сервер Apache надежен и достаточно защищен. Наибольшей угрозой безопасности сервера является пользовательский код, исполняемый сервером - как правило, речь идет о программах CGI (Common Gateway Interface) и SSI (Server Side Includes).

Приложения CGI могут разрабатываться на С, Perl, Python и на любом другом языке программирования. Некачественные программы CGI представляют собой одну из самых серьезных угроз для безопасности сервера: злоумышленники могут использовать код этих программ для атак, основанных на переполнении буфера или передаче команд интерпретатора через программу системе. Защита состоит в предельно внимательном отношении к коду, который размещается в системе. Следует лично проверять все программы, хранимые в каталоге cgi-bin. Старайтесь писать программы, не принимающие от пользователя данные, вводимые в свободном формате: пользуйтесь элементами меню, а не клавиатурным вводом, где только возможно. Ограничивайте и проверяйте данные, поступающие от пользователя к системе.

Чтобы облегчить задачу аудита сценариев CGI, храните все сценарии в каталоге ScriptAlias. Не разрешайте исполнение сценариев из любых других каталогов, если нет полной уверенности, что в эти каталоги попадают только сценарии, проверенные вами лично. В следующем разделе представлены сведения о том, как определять каталоги исполняемых сценариев CGI, в ходе рассказа об инструкции Options.

Серверные включения SSI (Server Side Includes) также представляют собой потенциальную проблему - по тем же причинам, что и программы CGI. Серверные включения называют еще HTML серверной обработки (Server Parsed HTML), а файлы SSI часто имеют расширение .shtml. Эти файлы обрабатываются сервером до передачи клиенту и могут включать в себя другие файлы либо вызывать код внешних сценариев. Если для динамического изменения файла SSI используется ввод пользователя, файл становится уязвим для тех же видов атак, что и сценарии CGI.

Команды SSI встраиваются в комментарии HTML, а следовательно, начинаются символами. Команды SSI перечислены в табл. 11.3.

Таблица 11.3. Команды SSI (Server Side Include)

Наиболее безопасный режим работы требует запрета на обработку инструкций SSI. Такова установка по умолчанию, изменяемая аргументами All или Includes инструкции Options в файле httpd.conf. Существует и компромисс - разрешить обработку SSI, но запретить команды ffinclude и #ехес. Они пред- ставлют наибольшую опасность, поскольку #include записывает в документ данные из внешнего файла, а #ехес позволяет исполнять сценарии и команды. Воспользуйтесь аргументом IncludesNOEXEC инструкции Options, чтобы реализовать такую схему. Рассмотрим теперь создание инструкций Options для отдельных каталогов.