Apache HTTPD多后缀解析漏洞

该漏洞和apache版本和php版本无关,属于用户配置不当造成的解析漏洞

由于Apache HTTPD支持一个文件拥有多个后缀,并为不同后缀执行不同的指令。所以如果运维人员给.php后缀增加了处理器

复制代码
AddHandler application/x-httpd-php .php

那么,在有多个后缀的情况下,只要一个文件含有.php后缀就会被识别成PHP文件,且没必要是最后一个后缀。这个特性就会形成一个可以绕过上传白名单的解析漏洞。

绕过方法:

将php文件构造成1.php.jpg的形式

例题: [UUCTF 2022 新生赛]ez_upload

相关推荐
Coder个人博客23 分钟前
Linux6.19-ARM64 mm proc子模块深入分析
linux·安全·车载系统·系统架构·系统安全·鸿蒙系统·安全架构
四谎真好看1 小时前
JavaWeb学习笔记(Day08+Day09)之Mybatis入门+基础操作
笔记·学习·学习笔记·javaweb
xqqxqxxq1 小时前
《智能仿真无人机平台(多线程V2.0)技术笔记》(线程进阶: 无人机自动防空平台开发教程)
笔记·无人机·cocos2d
三伏5221 小时前
Cortex-M3权威指南Cn第七章——笔记
笔记·cortex-m3
丝斯20112 小时前
AI学习笔记整理(56)——大模型微调
人工智能·笔记·学习
心.c2 小时前
Vue3+Node.js实现文件上传并发控制与安全防线 进阶篇
前端·javascript·vue.js·安全·node.js
智慧化智能化数字化方案2 小时前
安全生产——解读数字政府网络安全运营建设指南【附全文阅读】
网络·安全
whale fall2 小时前
【雅思-口语】与豆包聊天:出国旅游日常聊天英文 + 中文对照合集
笔记·学习·旅游
暴风游侠2 小时前
IDC 学习笔记
笔记·学习
航Hang*3 小时前
计算机等级考试(二级WPS)---第1章:综合应用基础---第1节:WPS公共功能使用
笔记·学习·wps·计算机二级·计算机等级考试