【文件上传漏洞-05】分布式配置文件靶场实战

Apache服务器配置

全局配置文件httpd.conf

全局配置文件主要用于配置以下功能：

• 配置prefork模块功能；

• 配置长连接功能；

• 配置httpd监听的套接字；

• 配置worker模块功能；

• 配置DSO；

• 配置网站根目录；

• 配置默认主页；

• 配置访问控制；

• 基于IP的访问控制；

• 用户目录；

• 日志；

• 设置字符集；

• 配置路径别名；

• 配置CGI；

• 配置虚拟主机功能；

• 状态页面；

• 页面压缩；

分布式配置文件.htaccess

.htaccess是Apache服务器的分布式配置文件，是一个纯文本文件，它里面存放着Apache服务器配置相关的指令。该配置文件会覆盖Apache服务器的全局配置，作用域是当前目录及其子目录。

.htaccess（分布式配置文件）是许多Web服务器根据目录应用设置的有用文件，允许在运行时覆盖Apache服务器的默认配置。使用.htaccess，我们可以在运行时轻松启用或禁用任何功能。

如果一个Web应用允许上传.htaccess文件，那就意味着攻击者可以更改Apache的配置，是十分危险的。.htaccess攻击想象空间特别大。首先看Apache的配置，允许.htaccess文件覆盖掉Apache的配置。

基本作用

• URL重写、自定义错误页面

• MIME类型配置

• 主要体现在伪静态的应用

• 图片防盗链

• 自定义404错误页面

• 阻止/允许特定IP/IP段