Apache HTTPD多后缀解析漏洞

该漏洞和apache版本和php版本无关,属于用户配置不当造成的解析漏洞

由于Apache HTTPD支持一个文件拥有多个后缀,并为不同后缀执行不同的指令。所以如果运维人员给.php后缀增加了处理器

复制代码
AddHandler application/x-httpd-php .php

那么,在有多个后缀的情况下,只要一个文件含有.php后缀就会被识别成PHP文件,且没必要是最后一个后缀。这个特性就会形成一个可以绕过上传白名单的解析漏洞。

绕过方法:

将php文件构造成1.php.jpg的形式

例题: [UUCTF 2022 新生赛]ez_upload

相关推荐
被考核重击9 小时前
WASM学习笔记
笔记·学习·wasm
DolphinScheduler社区9 小时前
Apache DolphinScheduler 与 Spring Cloud Data Flow:差异与优势解析
spring·spring cloud·apache·海豚调度·大数据工作流调度
耿公子和编程9 小时前
EasyBR 指纹浏览器深度体验:多账号运营的安全护城河
安全
码码哈哈0.09 小时前
基于 RSA 非对称加密与挑战码机制的前端登录安全方案
前端·安全·状态模式
三品吉他手会点灯9 小时前
C语言学习笔记 - 27.C编程预备计算机专业知识 - 什么是字节
c语言·开发语言·笔记·学习
中屹指纹浏览器9 小时前
指纹浏览器硬件仿真技术解析:显卡、音频、外设指纹伪装原理
经验分享·笔记
李少兄10 小时前
编程中的 e 表示法:科学计数法在代码里的指南
笔记·科学计数法·e
Magic-Yuan10 小时前
LLM 十大安全风险 - 概述
人工智能·安全
星幻元宇VR10 小时前
VR大空间:沉浸式数字体验引领新时代科普与教育升级
科技·学习·安全·vr·虚拟现实
ouliten11 小时前
[Triton笔记3]融合 Softmax (Fused Softmax)
笔记·triton