Bonjour a tous,
je viens d'écrire quelques CGI en bash pour ma machine.
Et les issues de sécurité me viennent a l'esprit.

Y a t'il des recommandations sur ce que l'on devrait faire/ne pas faire lorsque l'on écrit un CGI ?

J'imagine que les recommandations usuelles sont toujours valides:
"ne pas faire confiance a l'utilisateur"
"ne pas faire confiance au formats de parametre (corollaire de la phrase d'avant)"

Y a t'il autres choses ? y a t'il des siouxeries que je devrais savoir ?

(pas que mon serveur soit critique mais bon...)

merci

«Et les issues de sécurité me viennent a l'esprit.»
issues ? = problèmes comme en Anglais ? (parce que des sorties de sécurité...)
Tu es québécois ?
Et je serais curieux de savoir ce que signifie siouxeries ?

Ba sinon, pour la sécurité... regarder les logs (logcheck est efficace...), utiliser un parefeu bien configuré (firehol fait l'affaire pour le configurer chez moi), utiliser fail2ban pour ssh (mais aussi pour tes serveurs web, mail et ftp) et modsecurity pour le serveur http sont des considérations à prendre. De même, les mises à jour sont plus importantes qu'on ne le crois (cf http://linuxfr.org/2008/05/15/24092.html ).

C'est que j'ai mis en place sur mon serveur. Après, je suis aussi curieux que toi à propos de ce que les autres peuvent utiliser.

Ah, et comme j'utilise le sftp, si quelqu'un a réussi a utiliser une des dernières versions de openssh qui gère le chroot sur une debian stable, et ce de façon simple, je suis preneur !

siouxeries = ruses de sioux je dirais

Pour mod_security s'il gère les XSS/SQL je ne sais pas s'il gère les injections de commandes shell, qui peuvent survenir avec des CGI en sh

Sinon perso j'utilise les outils intégrés d'OpenBSD, et j'ai pas testé le sftp en chroot mais à priori c'est juste deux options à configurer dans sshd_config (d'après sshd_config(5) : ChrootDirectory = dossier qu'on veut en / + Subsystem = internal-sftp)

«Et les issues de sécurité me viennent a l'esprit.»
issues ? = problèmes comme en Anglais ? (parce que des sorties de sécurité...)
Tu es québécois ?

heu, oui, probleme de sécurité. Ca fait deux semaines que je parle anglais, il y a un moment ou on fini par faire des erreurs comme ca

"Et je serais curieux de savoir ce que signifie siouxeries ? "
un truc de sioux (il font des truc bizarre les sioux, la preuve ils sont sioux).

ok, rien de bien particulier donc...
il suffit de bien écrire ces scripts.
merci bien.