Apache HTTPD多后缀解析漏洞

该漏洞和apache版本和php版本无关,属于用户配置不当造成的解析漏洞

由于Apache HTTPD支持一个文件拥有多个后缀,并为不同后缀执行不同的指令。所以如果运维人员给.php后缀增加了处理器

复制代码
AddHandler application/x-httpd-php .php

那么,在有多个后缀的情况下,只要一个文件含有.php后缀就会被识别成PHP文件,且没必要是最后一个后缀。这个特性就会形成一个可以绕过上传白名单的解析漏洞。

绕过方法:

将php文件构造成1.php.jpg的形式

例题: [UUCTF 2022 新生赛]ez_upload

相关推荐
Kiyra15 分钟前
LinkedHashMap 源码阅读
java·开发语言·网络·人工智能·安全·阿里云·云计算
PhDTool15 分钟前
计算机化系统验证(CSV)的前世今生
数据库·安全·全文检索
diegoXie20 分钟前
【R】tidyr::pivot_longer / pivot_wider 学习笔记
笔记·学习·r语言
AI视觉网奇21 分钟前
ue metahuman 数字人换装笔记MetaTailor
笔记
ljt272496066122 分钟前
Compose笔记(六十五)--插槽模式
android·笔记·android jetpack
d111111111d25 分钟前
STM32平衡车测试,定时中断读取速度
笔记·stm32·单片机·嵌入式硬件·学习·模块测试
acrelgxy28 分钟前
看不见的电能“杂质”,正让您的电费白白流失。安科瑞,为您的电力系统装上“高效过滤器”。
安全·电能管理系统·电力监控系统·智能电力仪表
lkbhua莱克瓦241 小时前
基础-事务
开发语言·数据库·笔记·mysql·事务
潲爺1 小时前
《Java 8-21 高频特性实战(上):5 个场景解决 50% 开发问题(附可运行代码)》
java·开发语言·笔记·学习
2301_800050992 小时前
ceph分布式存储
笔记·分布式·ceph