[gull] wsgi, ExecCGI, /var/www, php et de drôles de nouvelles habitudes...

[Claude Paroz]

Le lundi 02 juillet 2012 à 17:07 +0200, Félix Hauri a écrit :
> En cherchant des infos sur ``howto apache wsgi'', j'ai d'abord trouvé cela:
> 
> http://serverfault.com/questions/91468/how-to-set-up-mod-wsgi-for-python-on-ubuntu
> 
> puis, de là, j'ai trouvé:
> 
> http://ubuntuforums.org/showthread.php?t=833766
> 
> où l'on peut lire:
> 
> ...
> <Directory /var/www/>
>     Options Indexes FollowSymLinks MultiViews ExecCGI
> ...
> 
> Alors je dis que php à déclanché de bien mauvaise habitudes!!!
> 
> Je m'explique:
> 
> Si ``/var/www'' est un alias du serveur web qui pointe sur ``/'' et que
> ``/'' (et ses descendants) on l'option ``ExecCGI'', alors un fichier
> uploadé (par un quidam) dans ``/var/www/tmp'' sera de fait executable!?
> 
> Déjà en php, la sécurisation tient de la gageur, mais alors avec des
> trucs comme ça...
> 
> A mon avis, il serait plus judicieux d'ajouter le handler 
>       AddHandler cgi-script .cgi
> à ``/usr/lib/cgi-bin'' (ou autre ``/usr/local/cgi-bin'') pour créer un
> répertoire limité:
>       ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/
> comme cela se fait (faisait) d'habitude...
> 
> Ou alors, 'faudra qu'on m'explique!?

La référence pour configurer modwsgi, c'est vraiment le Wiki "modwsgi",
voir par exemple:
http://code.google.com/p/modwsgi/wiki/QuickConfigurationGuide

Claude