Apache HTTPD多后缀解析漏洞

该漏洞和apache版本和php版本无关,属于用户配置不当造成的解析漏洞

由于Apache HTTPD支持一个文件拥有多个后缀,并为不同后缀执行不同的指令。所以如果运维人员给.php后缀增加了处理器

复制代码
AddHandler application/x-httpd-php .php

那么,在有多个后缀的情况下,只要一个文件含有.php后缀就会被识别成PHP文件,且没必要是最后一个后缀。这个特性就会形成一个可以绕过上传白名单的解析漏洞。

绕过方法:

将php文件构造成1.php.jpg的形式

例题: [UUCTF 2022 新生赛]ez_upload

相关推荐
_Kayo_2 小时前
node.js 学习笔记3 HTTP
笔记·学习
sinat_286945195 小时前
AI应用安全 - Prompt注入攻击
人工智能·安全·prompt
星星火柴9366 小时前
关于“双指针法“的总结
数据结构·c++·笔记·学习·算法
喂完待续6 小时前
Apache Hudi:数据湖的实时革命
大数据·数据仓库·分布式·架构·apache·数据库架构
Cx330❀8 小时前
【数据结构初阶】--排序(五):计数排序,排序算法复杂度对比和稳定性分析
c语言·数据结构·经验分享·笔记·算法·排序算法
小幽余生不加糖8 小时前
电路方案分析(二十二)适用于音频应用的25-50W反激电源方案
人工智能·笔记·学习·音视频
..过云雨9 小时前
01.【数据结构-C语言】数据结构概念&算法效率(时间复杂度和空间复杂度)
c语言·数据结构·笔记·学习
岑梓铭10 小时前
考研408《计算机组成原理》复习笔记,第五章(3)——CPU的【数据通路】
笔记·考研·408·计算机组成原理·计组
数据智能老司机13 小时前
实现逆向工程——理解 x86 机器架构
安全·逆向
数据智能老司机13 小时前
实现逆向工程——逆向工程的影响
安全·逆向