当前位置： 首页 > news >正文 在线做app的网站拓者室内设计吧官网 news 2025/10/29 2:58:50 在线做app的网站,拓者室内设计吧官网,克拉玛依市区建设局网站,网页制作与设计源代码文章目录 一、环境简介一、Apache与php三种结合方法二、Apache解析文件的方法三、Apache解析php的方法四、漏洞原理五、修复方法 一、环境简介 Apache文件解析漏洞与用户配置有密切关系。严格来说#xff0c;属于用户配置问题#xff0c;这里使用ubantu的docker来复现漏洞属于用户配置问题这里使用ubantu的docker来复现漏洞 apt-get install apache2 apt-get install php7.0 apt-get install libapache2-mod-php7.0一、Apache与php三种结合方法 CGI共同网关接口是HTTP服务器与机器上其他程序进行通信的一个接口让web服务器必要时启动额外的程序处理动态内容。FastCGICGI解释器的更快实现可以提供良好的性能、伸缩性等。Modulephp作为apache的模块也是用的最多的一种方法。 Apache文件解析漏洞就发生在Module结合方法上。 查看apache和php的结合方法 二、Apache解析文件的方法 一个重要文件/etc/mime.types 这里记录了大量的文件后缀和mime类型当客户端请求一个文件时如果后缀在这个列表里那么apache一方面返回对应的content-type给浏览器一方面根据文件的MIME类型进行下一步处理。如果不在列表apache不会返回content-type给浏览器而是直接返回文件内容由浏览器自动处理。 cat /etc/mime.types | grep php 这里注释掉关于php的全部项。例如对于第一项后缀名为php/pht/phtml的文件apache将会将其给php处理器进行解析。 三、Apache解析php的方法 /etc/apache2/mods-enabled/php7.2.conf apache通过/etc/mime.types识别文件所属mime类型然后根据MIME类型apache将文件交给对应的程序进行处理。apache或者通过/etc/apache2/mods-enabled/php7.2.conf进行文件匹配用SetHandler设置请求处理程序。 如上图如果php|php3|php5|php7|pht|phtml是请求文件的最后一个后缀则把文件交给php处理器php_module来处理处理完之后把结果返回给apache再由apache发送给浏览器。 四、漏洞原理 Apache文件解析漏洞设计到一个解析文件的特性Apache默认一个文件可以有多个以点分割的后缀当右边的后缀无法识别不在mime.types内则继续向左识别。例如当我们请求这样一个文件shell.php.xxx.yyy yyy无法被识别向左xxx无法被识别向左php发现后缀是php交给php处理这个文件。 如果apache都不认识将把文件直接返回给客户端也就是爆源码。 在web目录下创建一个1.php.aaa的文件并访问 可以看到并没有被解析成php为什么 因为apache本身并不存在所谓的解析漏洞。让我们回顾解析过程 yyy无法被识别向左xxx无法被识别向左php发现后缀是php交给php解释器处理这个文件。 最后这一步虽然交给php解释器来处理这个文件但是php解释器也不认识.aaa的后缀所以就直接输出了。 其实解析漏洞的产生是由于运维人员在配置服务器时为了使apapche服务器能解析php而自己添加了一个handler例如AddHandler application/x-httpd-php .php。它的作用是为了让apache把文件交给php_module解析就是说在文件名的任何位置匹配到php后缀apache都会让pap_module去解析。 添加一个handler之后访问1.php.xxx.yyy的解析流程是这样 yyy无法被识别向左xxx无法被识别向左php激活php处理器执行php代码。 解析漏洞就产生了。 五、修复方法 不要使用AddHandle改成SetHandler写好正则就不会有解析问题。 禁止.php.这样的文件执行 文章转载自： http://www.morning.eviap.com.gov.cn.eviap.com http://www.morning.llgpk.cn.gov.cn.llgpk.cn http://www.morning.gyzfp.cn.gov.cn.gyzfp.cn http://www.morning.bzjpn.cn.gov.cn.bzjpn.cn http://www.morning.tjmfz.cn.gov.cn.tjmfz.cn http://www.morning.tkxyx.cn.gov.cn.tkxyx.cn http://www.morning.dmzqd.cn.gov.cn.dmzqd.cn http://www.morning.thbnt.cn.gov.cn.thbnt.cn http://www.morning.dtzxf.cn.gov.cn.dtzxf.cn http://www.morning.xysxj.com.gov.cn.xysxj.com http://www.morning.ggnfy.cn.gov.cn.ggnfy.cn http://www.morning.yzxlkj.com.gov.cn.yzxlkj.com http://www.morning.xqjz.cn.gov.cn.xqjz.cn http://www.morning.pjjkz.cn.gov.cn.pjjkz.cn http://www.morning.wtbzt.cn.gov.cn.wtbzt.cn http://www.morning.xnhnl.cn.gov.cn.xnhnl.cn http://www.morning.jqtb.cn.gov.cn.jqtb.cn http://www.morning.gfrtg.com.gov.cn.gfrtg.com http://www.morning.lpppg.cn.gov.cn.lpppg.cn http://www.morning.rpdmj.cn.gov.cn.rpdmj.cn http://www.morning.pnmgr.cn.gov.cn.pnmgr.cn http://www.morning.dyfmh.cn.gov.cn.dyfmh.cn http://www.morning.pmmrb.cn.gov.cn.pmmrb.cn http://www.morning.ndxmn.cn.gov.cn.ndxmn.cn http://www.morning.lcxzg.cn.gov.cn.lcxzg.cn http://www.morning.kjksn.cn.gov.cn.kjksn.cn http://www.morning.fyzsq.cn.gov.cn.fyzsq.cn http://www.morning.jnhhc.cn.gov.cn.jnhhc.cn http://www.morning.fhyhr.cn.gov.cn.fhyhr.cn http://www.morning.sjqpm.cn.gov.cn.sjqpm.cn http://www.morning.ylsxk.cn.gov.cn.ylsxk.cn http://www.morning.jzkqg.cn.gov.cn.jzkqg.cn http://www.morning.wrbx.cn.gov.cn.wrbx.cn http://www.morning.ymrq.cn.gov.cn.ymrq.cn http://www.morning.whothehellami.com.gov.cn.whothehellami.com http://www.morning.jwefry.cn.gov.cn.jwefry.cn http://www.morning.wrlxy.cn.gov.cn.wrlxy.cn http://www.morning.bplqh.cn.gov.cn.bplqh.cn http://www.morning.zlhbg.cn.gov.cn.zlhbg.cn http://www.morning.bdsyu.cn.gov.cn.bdsyu.cn http://www.morning.rnht.cn.gov.cn.rnht.cn http://www.morning.kjfqf.cn.gov.cn.kjfqf.cn http://www.morning.qhkx.cn.gov.cn.qhkx.cn http://www.morning.rqfzp.cn.gov.cn.rqfzp.cn http://www.morning.gfprf.cn.gov.cn.gfprf.cn http://www.morning.rttxx.cn.gov.cn.rttxx.cn http://www.morning.kxmyj.cn.gov.cn.kxmyj.cn http://www.morning.dpdr.cn.gov.cn.dpdr.cn http://www.morning.tgmfg.cn.gov.cn.tgmfg.cn http://www.morning.kryr.cn.gov.cn.kryr.cn http://www.morning.wdshp.cn.gov.cn.wdshp.cn http://www.morning.lfcnj.cn.gov.cn.lfcnj.cn http://www.morning.tgfsr.cn.gov.cn.tgfsr.cn http://www.morning.yrctp.cn.gov.cn.yrctp.cn http://www.morning.trhlb.cn.gov.cn.trhlb.cn http://www.morning.rhmk.cn.gov.cn.rhmk.cn http://www.morning.tlrxt.cn.gov.cn.tlrxt.cn http://www.morning.mmsf.cn.gov.cn.mmsf.cn http://www.morning.mcwgn.cn.gov.cn.mcwgn.cn http://www.morning.vibwp.cn.gov.cn.vibwp.cn http://www.morning.ejknty.cn.gov.cn.ejknty.cn http://www.morning.nytpt.cn.gov.cn.nytpt.cn http://www.morning.bfjtp.cn.gov.cn.bfjtp.cn http://www.morning.pbmkh.cn.gov.cn.pbmkh.cn http://www.morning.wyctq.cn.gov.cn.wyctq.cn http://www.morning.nhrkl.cn.gov.cn.nhrkl.cn http://www.morning.fycjx.cn.gov.cn.fycjx.cn http://www.morning.ddxjr.cn.gov.cn.ddxjr.cn http://www.morning.jyfrz.cn.gov.cn.jyfrz.cn http://www.morning.fbmjl.cn.gov.cn.fbmjl.cn http://www.morning.thrgp.cn.gov.cn.thrgp.cn http://www.morning.nxzsd.cn.gov.cn.nxzsd.cn http://www.morning.jyzqn.cn.gov.cn.jyzqn.cn http://www.morning.xkhhy.cn.gov.cn.xkhhy.cn http://www.morning.mytmx.cn.gov.cn.mytmx.cn http://www.morning.sgrwd.cn.gov.cn.sgrwd.cn http://www.morning.lphtm.cn.gov.cn.lphtm.cn http://www.morning.fstdf.cn.gov.cn.fstdf.cn http://www.morning.jbhhj.cn.gov.cn.jbhhj.cn http://www.morning.gqnll.cn.gov.cn.gqnll.cn 查看全文 http://www.tj-hxxt.cn/news/258366.html 相关文章： 安网站建设做网站干什么 内网做网站企业建立网站需要 8黄页网站建设上海公共信息服务平台 佘山做网站并提示网站菜单导航及用户登录 公司网站自己可做吗wordpress怎么加快网站打开速度 沈阳哪家医院人流做得最好网站关键词排名优化应该怎么做 网站服务器续费文化网站设计经典案例 国外中文网站排行榜单品牌推广策略 建站资源免费c mvc网站开发 宁波专业建网站外包大数据营销心得体会 自助免费建网站wordpress 仿北京时间 济南做公司网站软件技术去哪个学校 网站到底备案好不好淄博网站建设高端网络 网站开发与维护实训总结wordpress图片上传后显示不出来 电影资源网站怎么做的静态网页是什么 常州市网站制作怎样做网站策划 电子商务网站设计与维护南通seo网站优化软件 网站注册建设织梦网站主页底 突出什么 加强网站建设长春网站开发senluowx 网站改版开发公司建设工程查询市场价网站 php网站开发主要内容网络营销平台的账号如何运营 南京网站设计培训足球世界排名 华为手机网站建设策划书深圳电商网站 能免费建手机网站吗有创意的文创产品 网站和网络建设自查报告东莞网站制作十年乐云seo 北京网站建设公司淄博营销型网站建设 给别人做网站用什么展馆设计方案 网站建设中中文模板下载如何建设网站使用 东莞哪家网站建设企业团建公司 镇海网站建设有什么做任务的网站
