防止apache的php扩展名解析漏洞

所属分类: 网络安全 / 黑客教程 阅读数: 44
收藏 0 赞 0 分享
主要问题是:不管文件最后后缀为什么,只要是.php.*结尾,就会被Apache服务器解析成php文件,问题是apache如果在mime.types文件里面没有定义的扩展名在诸如x1.x2.x3的情况下,最后一个x3的没有定义,他会给解析成倒数第二个的x2的定义的扩展名。所以xxx.php.rar或者xxx.php.111这些默认没在mime.types文件定义的都会解析成php的。同样如果是cgi或者jsp也一样,那怎么样防止这个问题发生能?
1、可以在mime.types文件里面定义常用的一些扩展名,
如:application/rar rar
但是这个没解决问题,我们不可能全把所有的都定义吧。
2、取消上传,这个也不太可能。
3、上传文件强制改名,这个由程序实现,如果在虚拟机比较多,开发人员多的情况下也不靠谱。
4、比较靠谱的终极大法,禁止*.php.*这种文件执行权限,当然可能误杀,但是基本上这种规则的文件名肯定有问题。
<FilesMatch "\.(php.|php3.)">
Order Allow,Deny
Deny from all
</FilesMatch>
很多dz论坛、ecshop、phpcms等后台都有利用此漏洞上传webshell的方法,那如果我们按上述方法操作了,那很多问题都可以解决了,希望本文对你有所帮助
更多精彩内容其他人还在看

网站安全教程 绕过D盾进行注入的方法(图文教程)

D盾_IIS防火墙专为IIS设计的一个主动防御的保护软件,以内外保护的方式 防止网站和服务器给入侵,在正常运行各类网站的情 况下,越少的功能,服务器越安全的理念而设计! 限制了常见的入侵方法,让服务器更安全!
收藏 0 赞 0 分享

WikkaWiki 1.3.2 Spam Logging PHP注射的方法

WikkaWiki 1.3.2 Spam Logging PHP注射的详细方法代码
收藏 0 赞 0 分享

局域网安全教程 HSRP攻击和防范的方法介绍(图文教程)

热备份路由器协议(HSRP)的设计目标是支持特定情况下 IP 流量失败转移不会引起混乱、并允许主机使用单路由器,以及即使在实际第一跳路由器使用失败的情形下仍能维护路由器间的连通性。换句话说,当源主机不能动态知道第一跳路由器的 IP 地址时,HSRP 协议能够保护第一
收藏 0 赞 0 分享

Free Realty v3.1-0.6的缺陷介绍及其修复方法

Free Realty v3.1-0.6的缺陷介绍及其修复方法,请看下面
收藏 0 赞 0 分享

SQL通用防注入系统asp版漏洞

今晚群里朋友叫看个站,有sql防注入,绕不过,但是有发现记录wrong的文件sqlin.asp。
收藏 0 赞 0 分享

伪黑客的成功的秘密:tomcat入侵和Jboss入侵的方法介绍(图)

黑客必须要有专业的知识,丰富的经验。而伪黑客不需要,只需要几个工具,扫描默认口令、弱口令、漏洞,就能利用。
收藏 0 赞 0 分享

黑客对社交网站攻击的常见五大手法(图文)

揭开社交网站背后的暗黑秘密
收藏 0 赞 0 分享

教你几招防御黑客袭击 防御黑客袭击的几个绝招推荐

防御黑客袭击的绝招介绍
收藏 0 赞 0 分享

ʲô

收藏 0 赞 0 分享

基于Http Header的SQL注入的方法详解

通常HTTP消息包括客户机向服务器的请求消息和服务器向客户机的响应消息。这两种类型的消息由一个起始行,一个或者多个头域,一个只是头域结束的空行和可选的消息体组成。
收藏 0 赞 0 分享
查看更多