CGI og FastCGI: grundlæggende

Kort sagt: CGI (Common Gateway Interface) er en gammel grænseflade, hvor webserveren starter et nyt program for hver forespørgsel, ved PHP programmet php-cgi. FastCGI er videreudviklingen: PHP-processer kører vedvarende og modtager mange forespørgsler via en socket. PHP-FPM er den vigtigste FastCGI-implementering til PHP. Sikkerhedsmæssigt er det først og fremmest cgi.*-indstillingerne og reglen om, at en FastCGI-adgang aldrig må kunne nås offentligt, der tæller.

Hvad er CGI?

CGI er en af de ældste metoder, hvormed webservere skaber dynamisk indhold. PHP-manualen henviser ved indstillingen cgi.rfc2616_headers til RFC 3875, specifikationen af Common Gateway Interface. Også PHP's begyndelse var CGI-programmer: Rasmus Lerdorf skrev i 1994 de første "Personal Home Page Tools" som CGI-binærfiler i C.

Princippet: For hver forespørgsel starter webserveren en ny proces, overdrager forespørgselsdata via miljøvariabler og standardinput og læser svaret fra standardoutput. Derefter slutter processen. Ifølge PHP-manualen læser PHP ved CGI og CLI sin php.ini på ny ved hvert kald, ved servermoduler kun ved start.

Det gør CGI robust, fordi hver forespørgsel begynder med en frisk proces. Men det gør også CGI langsom: Procesopstart, indlæsning af konfiguration og initialisering af udvidelser koster tid ved hver forespørgsel.

Hvad er FastCGI?

FastCGI løser ydelsesproblemet ved, at processer forbliver i live. Webserveren forbinder via en Unix-socket eller en TCP-port til en kørende proces og sender den forespørgslen i FastCGI-protokollen. Processen behandler den og venter på den næste.

PHP-FPM er ifølge manualen PHP's primære FastCGI-implementering. Den supplerer protokollen med procesadministration, pools, statussider og en slowlog. Enkeltheder står under PHP-FPM forklaret.

cgi-indstillingerne i php.ini

Til CGI-drift kender PHP egne indstillinger. De følgende værdier og beskrivelser stammer fra PHP-manualen:

1. cgi.force_redirect (standard 1, INI_SYSTEM): ifølge manualen nødvendig for at drive PHP som CGI sikkert under de fleste webservere. Slå kun fra "på eget ansvar"; under IIS skal den være slået fra.
2. cgi.fix_pathinfo (standard 1, INI_SYSTEM): sørger for korrekte PATH_INFO- og PATH_TRANSLATED-værdier. Scripts bør bruge SCRIPT_FILENAME i stedet for PATH_TRANSLATED.
3. cgi.discard_path (standard 0, INI_SYSTEM): gør det muligt at lægge CGI-binærfilen sikkert uden for webmappen, uden at .htaccess-beskyttelsen kan omgås.
4. fastcgi.impersonate (standard 0, INI_SYSTEM): kun relevant for IIS under Windows.
5. user_ini.filename og user_ini.cache_ttl (standard .user.ini og 300 sekunder): styrer, om og hvor ofte PHP læser .user.ini-filer.

Ved Nginx hører en ren overdragelse af scriptstien med. Et læsbart grundmønster, uden garanti for ethvert miljø:

location ~ \.php$ {
    try_files $uri =404;               # giv kun eksisterende filer videre til PHP
    fastcgi_pass unix:/run/php/php8.3-fpm.sock;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    include fastcgi_params;
}

Linjen try_files $uri =404; forhindrer, at forespørgsler på ikke-eksisterende .php-stier gives videre til PHP.

Hvorfor en åben FastCGI-adgang er farlig

PHP-manualen advarer udtrykkeligt: Den, der kan åbne en FastCGI-forbindelse til PHP, kontrollerer forespørgslens konfiguration, f.eks. auto_prepend_file, og kan dermed udføre vilkårlig kode. Årsagen er, at webservere via FastCGI-parametre som PHP_VALUE og PHP_ADMIN_VALUE må sende PHP-indstillinger med.

Heraf følger klare regler:

• Bind kun PHP-FPM eller php-cgi i FastCGI-tilstand via en Unix-socket, hvis webserveren kører på den samme host.
• Sæt ved TCP listen.allowed_clients og spær porten i firewallen; henvisninger hertil i indlægget Firewall til webservere.
• Hold socket-rettigheder snævre med listen.owner, listen.group og listen.mode.

CGI, FastCGI og PHP2Shell

Af PHP2Shell er både php-cgi og PHP-FPM berørt. For begge gælder: Opdatér til 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 hhv. en bekræftet backport, afslut og genstart derefter alle kørende PHP-processer. Ved FastCGI-opsætninger med php-cgi kører processer ofte ubemærket videre, fordi ingen egen tjeneste administrerer dem. Hvordan I finder og afløser denne arvelast, står under php-cgi: arvelast med risiko. I Plesk hedder varianterne noget andet; hjælp giver Plesk: forstå PHP-handlere.

Hvordan hjælper PHP SOS konkret?

• Kortlægge handlere: Vi finder ud af, om jeres websites kører via CGI, FastCGI med php-cgi eller PHP-FPM.
• Lukke adgange: Vi kontrollerer sockets, porte og firewall-regler, så ingen FastCGI-adgang kan nås udefra.
• Patche og rydde op: Vi opdaterer PHP og afslutter alle gamle processer, også forældreløse php-cgi-instanser.
• Afløse: Som led i serverhærdningen erstatter vi CGI-arvelast med PHP-FPM med egne pools.

Ofte stillede spørgsmål

Kilder

• PHP-manualen: Kerneindstillinger (cgi.*)
• PHP-manualen: .user.ini-filer
• PHP-manualen: FPM-konfiguration
• Nginx-dokumentation