Module Apache mod_info

Probl�mes li�s � la s�curit�

Une fois mod_info charg� dans le serveur, sa fonctionnalit� de gestionnaire est disponible dans tous les fichiers de configuration, y compris les fichiers de configuration des r�pertoires (par exemple .htaccess). Ceci peut avoir des r�percutions en mati�re de s�curit� pour votre site.

En particulier, l'utilisation de ce module peut conduire � la divulgation d'informations sensibles � partir des directives de configuration d'autres modules Apache comme des chemins syst�mes, des couples nom d'utilisateur/mot de passe, des noms de bases de donn�es, etc... C'est pourquoi ce module ne doit �tre utilis� que dans un environnement sous contr�le et toujours avec les plus grandes pr�cautions.

Il est recommand� d'utiliser mod_authz_host pour restreindre l'acc�s aux informations de configuration de votre serveur.

<Location /server-info>
    SetHandler server-info
    Order allow,deny
    # Autorisation d'acc�s depuis le serveur lui-m�me
    Allow from 127.0.0.1
    # Autorisation d'acc�s depuis une station de travail du r�seau
# local
    Allow from 192.168.1.17
</Location>

Filtrage des informations affich�es

Par d�faut, les informations affich�es comprennent une liste de tous les modules activ�s, et pour chaque module, une description des directives qu'il accepte, les branchements (hooks) qu'il impl�mente, ainsi que les directives concern�es dans la configuration courante.

Il est possible d'afficher d'autres vues de la configuration en ajoutant un argument � la requ�te infos-serveur. Par exemple, http://votre-serveur.com/infos-serveur?config affichera toutes les directives de configuration.

?<module-name>

Uniquement les informations relatives au module sp�cifi�

?config

Uniquement les directives de configuration, non tri�es par module

?hooks

Uniquement la liste des branchements (hooks) auxquels le module est attach�

?list

Une simple liste des modules activ�s

?server

Uniquement des informations de base sur le serveur

Affichage de la configuration au d�marrage

Si la directive de configuration define -DDUMP_CONFIG est utilis�e, mod_info va envoyer la configuration pr�interpr�t�e vers stdout au cours du d�marrage du serveur. "Pr�interpr�t�e" signifie que les directives telles que <IfDefine> et <IfModule> sont �valu�es et les variables d'environnement remplac�es par leurs valeurs. Cela ne repr�sente cependant pas la configuration d�finitive. En particulier, les fusions ou �crasementsde d�finitions en cas de directives multiples ne sont pas repr�sent�s.

Le r�sultat est �quivalent � celui de la requ�te ?config.

Limitations connues

mod_info tire ses informations de la configuration interpr�t�e, et non du fichier de configuration original. La mani�re dont l'arbre de configuration interpr�t� est cr�� induit quelques limitations :

• Les directives qui sont trait�es imm�diatement sans �tre enregistr�es dans l'arbre de configuration interpr�t� ne sont pas prises en compte. Celles-ci comprennent ServerRoot, LoadModule et LoadFile.
• Les directives qui contr�lent le fichier de configuration lui-m�me, comme Include, <IfModule> et <IfDefine> ne sont pas prises en compte, mais les directives de configuration incluses le sont.
• Les commentaires ne sont pas pris en compte (Ce qui peut �tre consid�r� comme une fonctionnalit�).
• Les directives de configuration des fichiers .htaccess ne sont pas prises en compte (car elles ne font pas partie de la configuration permanente du serveur).
• Les directives de conteneur comme <Directory> sont affich�es normalement, mais mod_info est incapable de d�terminer le num�ro de ligne de la balise fermante </Directory>.
• Les directives g�n�r�es par des modules tiers comme mod_perl peuvent ne pas �tre prises en compte.