小粋空間  -  a cheap joke and a play on words site

AdminCGIPath による mt.cgi の利用方法

先日、Movable Type ニュースにあった【重要】 第三者による不正アクセスを許す危険性の対策についてを受けて、盗聴によるパスワードやCookieの漏洩からの不正アクセスを防止する(1)、つまり AdminCGIPath の設定による mt.cgi の隠蔽を実際にやってみました。

上記のページに簡単な変更例は書かれていますが全体の作業の流れがいまひとつ分からず、とりあえず下記の手順を実施してみました。

• 新しいディレクトリの作成
• 新しいディレクトリに mt.cgi を移動
• mt.cfg に AdminCGIPath を追加（注：CGIPath は削除せずそのまま）

そのあと、新しいディレクトリ名を含めて mt.cgi を指定、つまり管理ページのURLをブラウザに設定して起動してみたところ、

Got an error: Can't locate MT/App/CMS.pm in @INC (@INC contains: …/extlib …/lib … .) at …/mt.cgi line 21.

というエラーが発生しました。mt.cgi の21行目は

require MT::App::CMS;

という、モジュール取得処理ですが、取得に失敗しています。これは mt.cgi を起動した時に決定する lib や extlib のパスを、mt.cgi と同じパスに設定しているためです。具体的には、次のリストは mt.cgi にあるパス決定処理ですが、

　　　　：
my($MT_DIR);
BEGIN {
    if ($0 =~ m!(.*[/\\])!) {
        $MT_DIR = $1;
    } else {
        $MT_DIR = './';
    }
    unshift @INC, $MT_DIR . 'lib';
    unshift @INC, $MT_DIR . 'extlib';
}
　　　　：

と、lib および extlib のパスとなる $MT_DIR を $0（Perl の実行スクリプト名）とのパターンマッチで求めているので、赤色で示すパスは結果的に起動した mt.cgi と同じパスになります。パターンにマッチしない場合もカレントディレクトリを設定しています。

つまり mt.cgi の移動に伴って他のディレクトリやファイルもコピーする必要があります。コメントやトラックバック等のCGIは従来のパスに必要なので、端的に言うと新しく作ったディレクトリにも以前と同じデータ構成が必要ということになります。全てコピーすれば間違いないと思いますが、とりあえず

extlib/

lib/

plugins/

tmpl/

mt.cfg

mt.cgi

mt-db-pass.cgi（MySQL利用時）

を配置したところ、管理画面表示や各メニューの表示、およびエントリー関連の作業は正常に動作しました。images/ や mt.js および style.css は StaticWebPath との関連で、場合によってコピーが必要かもしれません。
2005.05.14追記：The blog of H.Fujimoto：「第三者による不正アクセスの危険性」への対策より、ダイナミックパブリッシングを行っている場合は php ディレクトリのコピーも必要です。

最初のエラーでつまづいている方が少なくないのではないかと思い、急いでエントリーしました。ご参考になれば幸いです。なお全ての動作について確認できておりませんので予めご了承ください（確認でき次第追記します）。
2005.05.14追記：ほぼ全ての動作について確認しました。

2005.05.15 追記
AdminCGIPath による mt.cgi の利用方法（その2）もエントリーしました。