配置Apache防止webshell上传

leehenwu 2012-05-28 165209人围观 ,发现 6 个不明物体 文章系统安全
在Linux服务器的web应用中,经常需要上传文件到服务器上。不管是php的也好,jsp的也好,如果web程序对于上传检查不严格,可导致黑客上传webshell,对服务器安全威胁自不用说了。对于web开发对文件上传的限制,这里就不说了,这里仅仅来讨论服务器如何设置才防止上传的webshell执行。记得以前写过一篇文章,针对Windows下web目录的设置,脚本可以执行的仅仅给web匿名账户读取文件的权限,用户可以上传的目录不给其执行权限。这样即使web程序有问题,就算上传了webshell也无法执行的。在Linux情况下,本来以为去除上传目录的执行权限后,就ok了的。通过chmod去除后,导致无法上传,比较郁闷。后来一想,在Windows下是通过IIS来限制对web目录的解析的,那apache应该也可以的吧。查找了apache的帮助文档,终于让我找到了一种解决方法:
限制某一个目录针对php的解析方法之一,昨天在FreeBSD上测试可用。
在httpd.conf配置文件中,搜索Directory节点,添加新的节点;

<Directory "/www/home/upload">
AddType text/html .php
</Directory>

将php文件解析为html,浏览者看到的是自己的源码了,hoho。

刚才又找到一种方法,关闭路径/www/home/upload的php解析:

<Directory "/www/home/upload">
<Files ~ ".php">
Order allow,deny
Deny from all
</Files>
</Directory>

限制针对php文件的解析,对于*.php.*这种文件,可以添加上即可。

其实还有一种方法就是将图片文件上传到一个单独的文件夹,给一个二级的域名,这样不给这个虚拟站点解析权限。目前很多网站是采用的这种方式。
关闭虚拟主机的php解析:

<VirtualHost code.neeao.com>
...
<Files ~ ".php">
Order allow,deny
Deny from all
</Files>
</VirtualHost>

这些评论亮了

  • kelz (7级) FreeBuf保安队队长 回复
    误人子弟啊,Files ~ ".php"这种配置在windows下面没什么问题,在linux下面直接bypass了,linux是大小写敏感的,建议用FilesMatch “(?i:.php)” 来匹配不敏感大小写。
    )12( 亮了
发表评论

已有 6 条评论

取消
Loading...
css.php