CGI i FastCGI: osnove

Ukratko: CGI (Common Gateway Interface) staro je sučelje kod kojeg web-poslužitelj za svaki zahtjev pokreće novi program, kod PHP-a program php-cgi. FastCGI je daljnji razvoj: PHP procesi rade trajno i putem socketa primaju mnogo zahtjeva. PHP-FPM najvažnija je FastCGI izvedba za PHP. Sigurnosno su važne ponajprije postavke cgi.* i pravilo da FastCGI pristup nikad ne smije biti javno dostupan.

Što je CGI?

CGI je jedna od najstarijih metoda kojom web-poslužitelji stvaraju dinamične sadržaje. PHP priručnik kod postavke cgi.rfc2616_headers upućuje na RFC 3875, specifikaciju Common Gateway Interfacea. I počeci PHP-a bili su CGI programi: Rasmus Lerdorf 1994. napisao je prve „Personal Home Page Tools“ kao CGI binarne datoteke u jeziku C.

Načelo: za svaki zahtjev web-poslužitelj pokreće novi proces, podatke zahtjeva predaje putem varijabli okoline i standardnog ulaza, a odgovor čita sa standardnog izlaza. Nakon toga proces završava. Prema PHP priručniku PHP kod CGI-ja i CLI-ja svoj php.ini pri svakom pozivu čita iznova, a kod modula poslužitelja samo pri pokretanju.

To CGI čini robusnim jer svaki zahtjev počinje sa svježim procesom. Ali ga čini i sporim: pokretanje procesa, učitavanje konfiguracije i inicijalizacija ekstenzija troše vrijeme pri svakom zahtjevu.

Što je FastCGI?

FastCGI rješava problem učinkovitosti tako što procesi ostaju na životu. Web-poslužitelj se putem Unix socketa ili TCP porta povezuje s pokrenutim procesom i šalje mu zahtjev u FastCGI protokolu. Proces ga obrađuje i čeka sljedeći.

PHP-FPM je prema priručniku primarna FastCGI implementacija PHP-a. Protokol nadopunjuje upravljanjem procesima, poolovima, stranicama statusa i slowlogom. Pojedinosti su u članku PHP-FPM objašnjen.

cgi postavke u php.ini

Za CGI rad PHP poznaje vlastite postavke. Sljedeće vrijednosti i opisi potječu iz PHP priručnika:

1. cgi.force_redirect (zadano 1, INI_SYSTEM): prema priručniku potrebno za siguran rad PHP-a kao CGI-ja pod većinom web-poslužitelja. Isključiti samo „na vlastiti rizik“; pod IIS-om mora biti isključeno.
2. cgi.fix_pathinfo (zadano 1, INI_SYSTEM): osigurava ispravne vrijednosti PATH_INFO i PATH_TRANSLATED. Skripte trebaju koristiti SCRIPT_FILENAME umjesto PATH_TRANSLATED.
3. cgi.discard_path (zadano 0, INI_SYSTEM): omogućuje da se CGI binarna datoteka sigurno pohrani izvan web-direktorija, bez mogućnosti zaobilaženja zaštite putem .htaccess.
4. fastcgi.impersonate (zadano 0, INI_SYSTEM): važno samo za IIS pod Windowsom.
5. user_ini.filename i user_ini.cache_ttl (zadano .user.ini i 300 sekundi): određuju čita li PHP datoteke .user.ini i koliko često.

Kod Nginxa tome pripada uredno prosljeđivanje putanje skripte. Čitljiv osnovni uzorak, bez jamstva za svako okruženje:

location ~ \.php$ {
    try_files $uri =404;               # PHP-u predavati samo postojeće datoteke
    fastcgi_pass unix:/run/php/php8.3-fpm.sock;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    include fastcgi_params;
}

Redak try_files $uri =404; sprječava da se zahtjevi za nepostojećim .php putanjama prosljeđuju PHP-u.

Zašto je otvoren FastCGI pristup opasan

PHP priručnik izričito upozorava: tko može otvoriti FastCGI vezu prema PHP-u, kontrolira konfiguraciju zahtjeva, na primjer auto_prepend_file, i time može izvršiti proizvoljan kod. Razlog je što web-poslužitelji putem FastCGI parametara poput PHP_VALUE i PHP_ADMIN_VALUE smiju slati i PHP postavke.

Iz toga slijede jasna pravila:

• PHP-FPM ili php-cgi u FastCGI načinu povezivati samo putem Unix socketa ako web-poslužitelj radi na istom hostu.
• Kod TCP-a postaviti listen.allowed_clients i port blokirati vatrozidom; napomene u članku Vatrozid za web-poslužitelje.
• Prava socketa držati uskima putem listen.owner, listen.group i listen.mode.

CGI, FastCGI i PHP2Shell

PHP2Shellom su pogođeni i php-cgi i PHP-FPM. Za oba vrijedi: ažuriranje na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 odnosno potvrđeni backport, zatim završiti i ponovno pokrenuti sve pokrenute PHP procese. Kod FastCGI postavki s php-cgi procesi često neprimijećeno nastavljaju raditi jer ih ne vodi nijedna zasebna usluga. Kako pronaći i ukloniti to naslijeđe, piše na stranici php-cgi: naslijeđe s rizikom. U Pleskovima se izvedbe zovu drukčije; pomoć nudi članak Plesk: razumjeti PHP rukovatelje.

Kako PHP SOS konkretno pomaže?

• Evidentirati rukovatelje: Utvrđujemo rade li Vaše web-stranice putem CGI-ja, FastCGI-ja s php-cgi ili PHP-FPM-a.
• Zatvoriti pristupe: Provjeravamo socketove, portove i pravila vatrozida kako nijedan FastCGI pristup ne bi bio dostupan izvana.
• Zakrpati i pospremiti: Ažuriramo PHP i završavamo sve stare procese, uključujući zaostale php-cgi instance.
• Ukloniti: U okviru ojačavanja poslužitelja CGI naslijeđe zamjenjujemo PHP-FPM-om s vlastitim poolovima.

Česta pitanja

Izvori

• PHP priručnik: Osnovne postavke (cgi.*)
• PHP priručnik: Datoteke .user.ini
• PHP priručnik: FPM konfiguracija
• Nginx dokumentacija