haserl - Online în cloud

PROGRAM:

NUME

haserl - Un program de scripting cgi pentru medii încorporate

REZUMAT

#!/usr/bin/haserl [--shell=pathspec] [--upload-dir=dirspec] [--upload-handler=manipulant]
[--upload-limit=limita] [--accepta toate] [--accept-none] [--tăcut] [--debug]

[ text ] [ <% script shell %> ] [ text ] ...

DESCRIERE

Haserl este un mic wrapper cgi care permite programarea cgi în stil „PHP”, dar folosește un UNIX
bash-like shell sau Lua ca limbaj de programare. Este foarte mic, deci poate fi folosit
în medii încorporate sau unde ceva de genul PHP este prea mare.

Combină trei caracteristici într-un mic motor cgi:

Analizează cererile POST și GET, plasând elemente de formular ca perechi nume=valoare în
mediu de utilizat pentru scriptul CGI. Acesta este oarecum ca uncgi împachetare.

Deschide un shell și traduce tot textul în declarații imprimabile. Tot textul
în <% ... %> constructele sunt transmise text shell-ului. Aceasta este oarecum
ca scrisul PHP scripturi.

Opțional, poate fi instalat pentru a-și renunța permisiunile proprietarului scriptului,
oferindu-i unele dintre caracteristicile de securitate ale suexec or cgiwrapper.

OPŢIUNI REZUMAT

Acesta este un rezumat al opțiunilor din linia de comandă. Vă rugăm să vedeți OPŢIUNI secțiunea de sub
nume lung de opțiune pentru o descriere completă.

-a --accept-toate
-n --accept-niciunul
-d --debug
-s, --shell
-S, --tăcut
-U, --upload-dir
-u, --upload-limit
-H, --upload-handler

OPŢIUNI

--accepta toate
Programul acceptă în mod normal date POST numai atunci când REQUEST_METHOD este POST și
acceptă date despre datele URL numai atunci când REQUEST_METHOD este GET. Această opțiune
permite să fie acceptate atât datele POST, cât și cele URL, indiferent de REQUEST_METHOD.
Când această opțiune este setată, REQUEST_METHOD are prioritate (de exemplu, dacă metoda
este POST, FORM_variables sunt preluate din datele COOKIE, datele GET și datele POST, în
acea ordine. Dacă metoda este GET, FORM_variables sunt preluate din datele COOKIE, POST
date și GET date.) Implicit este să nu accepte toate metodele de introducere - doar
Datele COOKIE și REQUEST_METHOD.

--accept-niciunul
Dacă este dat, haserl nu va analiza intrarea standard ca conținut http înainte de procesare
scenariul. Acest lucru este util dacă se apelează un script haserl dintr-un alt script haserl.

--depanare
În loc să executați scriptul, tipăriți scriptul care va fi executat. Dacă
variabila de mediu „REQUEST_METHOD” este setată, datele sunt trimise cu
tip de conținut simplu/text. În caz contrar, scriptul shell este tipărit text.

--shell=pathspec
Specificați un shell alternativ asemănător bash de utilizat. Implicit la "/ Bin / sh"

Pentru a include parametrii shell nu utilizați --shell=/ Bin / sh format. În schimb, utilizați
format alternativ fără „=", ca în --shell "/ bin / bash --norc". Asigurați-vă că
citați șirul de opțiuni pentru a proteja orice caractere speciale.

Dacă este compilat cu biblioteci Lua, atunci șirul „lua” este folosit pentru a utiliza un integrat
Lua vm. Acest șir diferențiază majuscule și minuscule. Exemplu: --shell=lună

O alternativă este „luac”. Acest lucru face ca analizatorii haserl și lua să fie dezactivați,
iar scriptul se presupune a fi o bucată lua precompilată. Vedea LUAC mai jos pentru mai multe
informaţii.

--tăcut
Haserl tipărește în mod normal un mesaj informativ cu privire la condițiile de eroare. Acest
suprimă mesajul de eroare, astfel încât utilizarea haserl să nu fie promovată.

--upload-dir=dirspec
Implicit la "/ tmp". Toate fișierele încărcate sunt create cu un nume de fișier temporar în acesta
director HASERL_xxx_cale conține numele fișierului temporar. FORM_xxx_nume
conține numele original al fișierului, așa cum este specificat de client.

--upload-handler=pathspec
Când este specificat, încărcările de fișiere sunt gestionate de acest handler, mai degrabă decât scrise în
fișiere temporare. Trebuie oferită specificația completă a căii (CALEA nu este căutată) și
handler-ului de încărcare primește un parametru de linie de comandă: Numele FIFO activat
care va fi trimis fișierul de încărcare. În plus, handlerul poate primi 3
variabile de mediu: TIPUL DE CONȚINUT, NUME DE FIȘIER, și NUME. Acestea reflectă MIME
anteturi de conținut-dispoziție pentru conținut. Haserl va bifurca handlerul pentru fiecare
fișierul încărcat și va trimite conținutul fișierului încărcat către FIFO specificat.
Haserl va bloca apoi până când handlerul se termină. Această metodă este pentru experți
numai.

--upload-limit=limita
Permiteți un fișier codificat mime până la limita KB pentru a fi încărcat. Valoarea implicită este 0KB (nu
încărcări permise). Rețineți că codificarea mime adaugă 33% la dimensiunea datelor.

ÎNSCRIERI OF OPERAȚIUNEA

În general, serverul web setează mai multe variabile de mediu și apoi utilizează furculiţă or
o altă metodă de a rula scriptul CGI. Dacă scriptul folosește haserl interpret, cel
se întâmplă următoarele:

If haserl este instalat suid root, apoi uid/gid este setat la proprietarul scriptului.

Mediul este scanat HTTP_COOKIE, care poate fi setat de web
Server. Dacă există, conținutul analizat este plasat în mediul local.

Mediul este scanat REQUEST_METHOD, care a fost setat de serverul web.
Pe baza metodei de solicitare, intrarea standard este citită și analizată. Cel analizat
conținuturile sunt plasate în mediul local.

Scriptul este tokenizat, analizat haserl blocuri de cod din text brut. Textul brut este
convertite în declarații „echo”, apoi toate tokenurile sunt trimise la sub-shell.

haserl furci și un sub-cochilie (de obicei / Bin / sh) este pornit.

Toate jetoanele sunt trimise la STDIN-ul sub-shell-ului, cu un final ieşire comanda.

Când sub-shell se termină, haserl interpret efectuează curățarea finală și
apoi se termină.

CLIENT LATURĂ INTRARE

haserl interpretul va decoda datele trimise prin variabila de mediu HTTP_COOKIE și
metoda GET sau POST de la client și stocați-le ca variabile de mediu care pot
fi accesat de haserl. Numele variabilei urmează numele dat în sursă,
cu excepția faptului că un prefix ( FORMĂ_) se adaugă. De exemplu, dacă clientul trimite „foo=bar”,
variabila de mediu este FORM_foo=bar.

Pentru metoda HTTP_COOKIE, variabilele sunt stocate și cu prefixul ( COOKIE_) adăugat.
De exemplu, dacă HTTP_COOKIE include „foo=bar”, variabila de mediu este
COOKIE_foo=bar.

Pentru metoda GET, datele trimise sub forma %xx sunt traduse în caracterele lor
reprezintă, iar variabilele sunt, de asemenea, stocate cu prefixul ( GET_) adăugat. De exemplu, dacă
QUERY_STRING include „foo=bar”, variabila de mediu este GET_foo=bar.

Pentru metoda POST, variabilele sunt stocate și cu prefixul ( POST_) adăugat. Pentru
de exemplu, dacă fluxul de postare include „foo=bar”, variabila de mediu este POST_foo=bar.

De asemenea, pentru metoda POST, dacă datele sunt trimise folosind multipart/form-data codificare,
datele sunt decodificate automat. Acesta este de obicei folosit atunci când fișierele sunt încărcate de pe un web
client folosind .

NOTĂ Când un fișier este încărcat pe serverul web, acesta este stocat în upload-dir
director. FORM_variable_name= conține numele fișierului încărcat (ca
specificat de client.) HASERL_variable_path= conține numele fișierului în
upload-dir care deține conținutul încărcat. Pentru a preveni clienții rău intenționați de la
umple upload-dir pe serverul dvs. web, încărcările de fișiere sunt permise numai atunci când
--încărcare-limită opțiunea este utilizată pentru a specifica cât de mare poate fi încărcat un fișier. Haserl
șterge automat fișierul temporar când scriptul este terminat. Pentru a păstra
fișier, mutați-l sau redenumiți-l undeva în script.

Rețineți că numele fișierului este stocat în HASERL_calea_variabilă Acest lucru se datorează faptului că FORM_,
Variabilele GET_ și POST_ sunt modificabile de către client, iar un client rău intenționat poate
setați o a doua variabilă cu numele calea_variabilă=/ Etc / passwd. Versiuni anterioare
nu a stocat pathspec-ul în HASERL spațiu de nume. La menține înapoi
compatibilitate, il nume of il temporar fişier is de asemenea stocate in FORM_variable= și
POST_variable=. Acest is luate în considerare nesigur și să nu be folosit.

Dacă clientul trimite date atât prin metodele POST și GET, atunci haserl va analiza numai
date care corespund cu REQUEST_METHOD variabilă setată de serverul web, cu excepția cazului în care
accepta toate opțiunea a fost setată. De exemplu, un formular numit prin metoda POST, dar având un
URI-ul some.cgi?foo=bar&otherdata=something va avea datele POST analizate, iar foo
și alte date variabilele sunt ignorate.

Dacă serverul web definește a HTTP_COOKIE variabilă de mediu, datele cookie sunt analizate.
Datele cookie sunt analizate înainte datele GET sau POST, deci în cazul a două variabile ale
cu același nume, datele GET sau POST suprascrie informațiile cookie.

Când mai multe instanțe ale aceleiași variabile sunt trimise din surse diferite,
FORM_variable va fi setat în funcție de ordinea în care sunt procesate variabilele.
HTTP_COOKIE este întotdeauna procesat primul, urmat de REQUEST_METHOD. Dacă accept-toate
opțiunea a fost setată, apoi HTTP_COOKIE este procesat mai întâi, urmat de metoda nu
specificat de REQUEST_METHOD, urmat de REQUEST_METHOD. Ultima instanță a
variabila va fi folosită pentru a seta FORM_variable. Rețineți că variabilele sunt, de asemenea, separat
creează ca COOKIE_variable, GET_variable și POST_variable. Acest lucru permite utilizarea
nume suprapuse din fiecare sursă.

Când mai multe instanțe ale aceleiași variabile sunt trimise din aceeași sursă, numai ultima
unul este salvat. Pentru a păstra toate copiile (de exemplu, pentru selecții multiple), adăugați „[]” la sfârșit
a numelui variabilei. Toate rezultatele vor fi returnate, separate prin linii noi. De exemplu,
host=Enoch&host=Esther&host=Iosua rezultă în „FORM_host=Iosua”.
host[]=Enoch&host[]Esther&host[]=Iosua rezultă în „FORM_host=Enoch\nEsther\nIosua”

LIMBA

Următoarele structuri ale limbajului sunt recunoscute de haserl.

ALERGA
<% [script shell] %>

Orice lucru cuprins de etichete <% %> este trimis la sub-shell pentru execuție. Textul
este trimis textual.

INCLUDE
<%in pathspec %>

Includeți un alt fișier textual în acest script. Fișierul este inclus când script-ul
este inițial analizat.

EVAL
<%= expresie %>

tipăriți expresia shell. Zahăr sintactic pentru „echo expr”.

CUM
<%# comentariu %>

Bloc de comentarii. Orice dintr-un bloc de comentarii nu este analizat. Comentariile pot fi imbricate
și poate conține alte elemente haserl.

EXEMPLE

AVERTISMENT
Exemplele de mai jos sunt simplificate pentru a arăta cum se utilizează haserl. Ar trebui să fii
familiarizat cu securitatea de bază a scripturilor web înainte de utilizare haserl (sau orice scripting
limbaj) într-un mediu de producţie.

simplu Comandă
#!/usr/local/bin/haserl
tip de conținut: text/plat

<%# Acesta este un exemplu de script „env” %>
<% env %>

Imprimă rezultatele env comandă ca un document „text/plat” de tip mime. Aceasta este
il haserl versiunea comunului printenv cgi.

luping cu dinamic producție
#!/usr/local/bin/haserl
Tip de conținut: text/html




<% pentru a în Roșu Albastru Galben Cyan; face %>
„><% echo -n „$a” %>
<% realizat %>




Trimite clientului un document „text/html” de tip mime, cu un tabel html cu
elemente etichetate cu culoarea de fundal.

Utilizare Coajă definit funcții.
#!/usr/local/bin/haserl
tip de conținut: text/html

<% # definește o funcție de utilizator
element_tabel() {
ecou" 1 USD "
}
%>



<% pentru a în Roșu Albastru Galben Cyan; face %>
<% element_tabel $a %>
<% realizat %>




La fel ca mai sus, dar folosește o funcție shell în loc de html încorporat.

Auto Referențierea CGI cu a formă
#!/usr/local/bin/haserl
tip de conținut: text/html


Formular Eșantion
" method="GET">
<% # Efectuați o validare de bază a FORM_textfield
# Pentru a preveni atacurile web comune
FORM_textfield=$( echo „$FORM_textfield” | sed „s/[^A-Za-z0-9 ]//g” )
%>
<input type=text name=textfield
Value="<% echo -n "$FORM_textfield" | tr az AZ %>" cols=20>




Imprimă un formular. Dacă clientul introduce text în formular, CGI este reîncărcat (definit
by $SCRIPT_NAME) și câmpul de text este igienizat pentru a preveni atacurile web, apoi
formularul este reafișat cu textul introdus de utilizator. Textul este cu majuscule.

Se încarcă a Fișier
#!/usr/local/bin/haserl --upload-limit=4096 --upload-dir=/ tmp
tip de conținut: text/html


" method=POST enctype="multipart/form-data" >



<% if test -n „$HASERL_uploadfile_path”; apoi %>

Ați încărcat un fișier numit <% echo -n $FORM_uploadfile_name %> și a fost
. stocat temporar pe server ca . The
fișierul a fost <% cat $HASERL_uploadfile_path | wc -c %> octeți lungime.
<% rm -f $HASERL_uploadfile_path %> Nu vă faceți griji, fișierul tocmai a fost șters
de pe serverul web.
<% restul %>
Încă nu ați încărcat un fișier.
<% fi %>



Afișează un formular care permite încărcarea fișierelor. Acest lucru se realizează prin utilizarea
--încărcare-limită iar prin setarea formei enctype la multipart/form-data. În cazul în care
clientul trimite un fișier, apoi unele informații referitoare la fișier sunt tipărite și apoi
sters. În caz contrar, formularul precizează că clientul nu a încărcat un fișier.

RFC-2616 Conformitate cu normele
#!/usr/local/bin/haserl
<% echo -en "content-type: text/html\r\n\r\n" %>

...


Pentru a respecta pe deplin specificația HTTP, anteturile ar trebui să fie terminate folosind
CR+LF, mai degrabă decât terminarea normală a liniei Unix LF. Sintaxa de mai sus poate
să fie utilizat pentru a produce anteturi conforme cu RFC 2616.

MEDIUL

Pe lângă variabilele de mediu moștenite de la serverul web, următoarele
variabilele de mediu sunt întotdeauna definite la pornire:

HASERLVER
haserl versiune - o etichetă informativă.

SESIUNE ID
O etichetă hexazecimală care este unică pentru durata de viață a CGI (este generată atunci când
pornește cgi; și nu se modifică până când nu este generată o altă interogare POST sau GET.)

HASERL_ACCEPT_ALL
În cazul în care --accepta toate steagul a fost pus, -1, Altfel 0.

HASERL_SHELL
Numele shell-ului haserl a început să ruleze comenzi sub-shell în.

HASERL_UPLOAD_DIR
Directorul haserl îl va folosi pentru a stoca fișierele încărcate.

HASERL_UPLOAD_LIMIT
Numărul de KB care pot fi trimise de la client la server.

Aceste variabile pot fi modificate sau suprascrise în cadrul scriptului, deși cele
care încep cu „HASERL_” sunt doar informative și nu afectează scriptul care rulează.

SIGURANȚĂ CARACTERISTICI

Există multă literatură referitoare la pericolele utilizării shell-ului pentru a programa scripturi CGI.
haserl conține unele protecții pentru atenuarea acestui risc.

Mediu inconjurator Variabile
Codul pentru popularea variabilelor de mediu este în afara domeniului de aplicare al sub-
coajă. Analizează personajele? și &, deci este mai greu de făcut pentru un client
atacuri „injectabile”. Ca exemplu, foo.cgi?a=test;cat / Etc / passwd ar putea avea ca rezultat
unei variabile i se atribuie valoarea test și apoi rezultatele alergării pisică
/ Etc / passwd fiind transmis clientului. Haserl va atribui variabilei complet
valoare: test;cat / Etc / passwd

Este sigur să utilizați această variabilă „periculoasă” în scripturile shell prin includerea acesteia în
citate; deși validarea ar trebui făcută pe toate câmpurile de intrare.

Privilegiu scăparea
Dacă este instalat ca un script suid, haserl își va seta uid/gid-ul la cel al proprietarului de
scenariul. Acest lucru poate fi folosit pentru a avea un set de scripturi CGI care au diverse
privilegiu. Dacă haserl binary nu este instalat suid, atunci scripturile CGI vor
rulați cu uid/gid-ul serverului web.

Respinge comandă linie parametrii dat on il URL-ul
Dacă adresa URL nu conține un „=" necodat, atunci specificația CGI indică opțiunile
vor fi utilizați ca parametri de linie de comandă pentru program. De exemplu, conform
la specificațiile CGI: http://192.168.0.1/test.cgi?--upload-limit%3d2000&foo%3dbar
Ar trebui să setați limita de încărcare la 2000KB în plus față de setarea „Foo=bar”. Pentru a proteja
împotriva clienților care își permit propriile încărcări, haserl respinge orice opțiuni de linie de comandă
dincolo de argv[2]. Dacă este invocat ca #! script, interpretul este argv[0], all
opțiunile din linia de comandă listate în #! linia sunt combinate în argv[1] și
numele scriptului este argv[2].

MOON

Dacă este compilat cu suport lua, --shell=lua va activa lua ca limbaj de script în schimb
de cochilie bash. Sunt plasate variabilele de mediu (SCRIPT_NAME, SERVER_NAME etc.).
tabelul ENV, iar variabilele de formular sunt plasate în tabelul FORM. De exemplu, cel
Formularul de auto-referință de mai sus poate fi scris astfel:

#!/usr/local/bin/haserl --shell=lua
tip de conținut: text/html


Formular Eșantion
" method="GET">
<% # Efectuați o validare de bază a FORM_textfield
# Pentru a preveni atacurile web comune
FORM.textfield=string.gsub(FORM.textfield, „[^%a%d]”, „”)
%>
<input type=text name=textfield
Value="<% io.write (string.upper(FORM.textfield)) %>" cols=20>




Operatorul <%= este zahăr sintactic pentru io.scrie (tostring( ... )) Deci, de exemplu,
Valoarea = rândul de mai sus ar putea fi scris: Valoare="<%= string.upper(FORM.textfield) %>" cols=20>

scripturile haserl lua pot folosi funcția haserl.loadfile(nume de fișier) a procesa o tinta
script ca un script haserl (lua). Funcția returnează un tip de „funcție”.

De exemplu,

bar.lsp
<% io.write ("Bună ziua, lume") %>

Mesajul dvs. este <%= gvar %>

-- Sfârșitul fișierului Includere --

foo.haserl
#!/usr/local/bin/haserl --shell=lua
<% m = haserl.loadfile("bar.lsp")
gvar = "Rulează ca m()"
m ()

gvar = „Încărcați și rulați într-un singur pas”
haserl.loadfile("bar.lsp")()
%>

Alergare foo va produce:

Salut Lume
Mesajul tău este Run as m()
-- Sfârșitul fișierului Includere --
Salut Lume
Mesajul dvs. este Încărcați și rulați într-un singur pas
-- Sfârșitul fișierului Includere --

Această funcție face posibil să aveți pagini server haserl imbricate - fragmente de pagină
care sunt procesate de haserl tokenizer.

LUAC

luac „shell” este o bucată lua precompilată, deci editarea și testarea interactivă a scripturilor
nu e posibil. Cu toate acestea, haserl poate fi compilat numai cu suport luac, iar acest lucru permite
lua suport chiar și într-un mediu de memorie mic. Toate caracteristicile haserl lua enumerate mai sus sunt
încă disponibil. (Dacă luac este singurul shell integrat în haserl, haserl.loadfile este
dezactivat, deoarece analizatorul Haserl nu este compilat.)

Iată un exemplu de script trivial, convertit într-un script luac cgi:

Având în vedere fișierul test.lua:
print ("Tip de conținut: text/plain0)
print ("UUID-ul dvs. pentru această rulare este: " .. ENV.SESSIONID)

Poate fi compilat cu luac:
luac -o test.luac -s test.lua

Și apoi antetul Haserl a adăugat la el:
echo '#!/usr/bin/haserl --shell=luac' | cat - test.luac >luac.cgi

Alternativ, este posibil să dezvoltați un întreg site web folosind shell-ul standard lua,
și apoi au haserl însuși să preproceseze scripturile pentru compilatorul luac ca parte a a
procesul de construire. Pentru a face acest lucru, utilizați --shell=lua și dezvoltați site-ul web. Când este gata de construit
mediul de rulare, adăugați linia --debug la scripturile dvs. lua și rulați-le în ieșire
rezultatele la fișierele sursă .lua. De exemplu:

Având în vedere scriptul haserl test.cgi:
#!/usr/bin/haserl --shell=lua --debug
Tip de conținut: text/ simplu

UUID-ul dvs. pentru această rulare este <%= ENV.SESSIONID %>

Precompilați, compilați și adăugați antetul haserl luac:
./test.cgi > test.lua
luac -s -o test.luac test.lua
echo '#!/usr/bin/haserl --shell=luac' | cat - test.luac >luac.cgi

Utilizați haserl online folosind serviciile onworks.net