cgi-binディレクトリの必要性について

Question

ApacheなどのWebサーバーソフトではデフォルトでcgi-binディレクトリ内でないとCGIを実行できないようになっていますが、この設定の利点は何があるのでしょうか？

自分には全く利点がないように思えるのですが、実はセキュリティ上で大きな利点があるとかはないですか？

そうすると、自分はDocumentRootにExecCGIを許可していますが、それがセキュリティ的にまずいということになる気がしますが、それについても回答をお願いしたいです。

Answer 1

単なる歴史的経緯だと思います。
cgi-binディレクトリ以外でもCGIプログラムが実行できるようになっても元のままがデフォルトとして残っているのでしょう。

Comments

[mike2mike4]

なるほど、それは知りませんでした。ありがとうございます。

Answer 2

CGIプログラムは単にサーバで実行されるプログラムにすぎないので、サーバ上でプログラムを実行出来る権限がない（FTPなどでしかアクセスしかできない）ユーザーでもWebサーバ経由でプログラムを実行出来てしまいます。cgi-binが分離されていることで、デフォルトの状態でも「コンテンツを設置更新できるユーザー（DcoumentRootにアクセス出来るユーザー）」「CGIプログラムを設置できるユーザー（cgi-binにアクセス権があるユーザー）」を容易に分離出来ます。

またcgi-binに置かれたファイルはすべてCGIプログラムと見なされるので、実行されるか権限などに問題があればエラーになります。DocumentRoot以下でCGIプログラムを実行しようとした場合、設定ミスなどでソースコードが表示されてしまうような状況がありがちです。

デフォルトでCGIを有効にしつつ任意の場所でCGIが実行出来るようにはなっていないという、利便性とセキュリティのバランスが考えられた設定です。

Answer 3

パーミッションで隔離して、セキュリティを確保しようとしているのでは？