apache .htaccess and .htpasswd disclource漏洞修复

.htaccess的基本作用

   .htaccess是一个纯文本文件，它里面存放着Apache服务器配置相关的指令。
   .htaccess主要的作用有：URL重写、自定义错误页面、MIME类型配置以及访问权限控制等。主要体现在伪静态的应用、图片防盗链、自定义404错误页面、阻止/允许特定IP/IP段、目录浏览与主页、禁止访问指定文件类型、文件密码保护等。
   .htaccess的用途范围主要针对当前目录

apache .htaccess and .htpasswd disclource漏洞修复:
限制对 .htaccess 文件的访问

以下配置可防止 Web 客户端查看 .htaccess 和 .htpasswd 文件。

如何测试

验证 Apache 配置文件中是否存在以下推荐配置，并确保它们没有被注释掉。

下面是错误配置

<FilesMatch "^\.ht">
Order allow
</FilesMatch>

修复

1.找到Apache配置文件和包含的配置文件。2. 将以下行添加到配置文件中。

<FilesMatch "^\.ht">
Order allow,deny
Deny from all
Satisfy All
</FilesMatch>

拓展

阻止访问你的 .htaccess 文件或者指定类型的文件
下面的代码可以阻止别人访问你的.htaccess文件。同样，你也可以设定阻止多种文件类型。

#保护你的 htaccess 文件  
<Files .htaccess>  
order allow,deny  
deny from all  
</Files>  

#阻止查看指定的文件  
<Files secretfile.jpg>  
order allow,deny  
deny from all  
</Files>  

#多种文件类型  
<FilesMatch “.(htaccess|htpasswd|ini|phps|fla|psd|log|sh)$”>  
 Order Allow,Deny  
Deny from all  
</FilesMatch>

正则表达式基础知识

. - 匹配任意字符，换行符除外（如果 dotall 为 false）。 
* - 该符号前面的字符，匹配 0 次或多次。 
+ - 该符号前面的字符，匹配 1次或多次 
? - 该符号前面的字符是可选的。匹配 0 次或 1 次。 
\d - 匹配任何单个数字。 
\w - 匹配任何一个字符（包括字母数字以及下划线）。 
[XYZ] - 匹配字符组中的任意一个字符，即 X、Y、Z 中的任意一个。 
[XYZ]+ - 匹配字符组中的一个或多个字符。 
$ - 匹配字符串结束的位置。 
^ - 匹配字符串开始的位置。 
[^a-z] - 当出现在字符类中时，^ 表示 NOT（非）；对于该示例，表示匹配任何非小写字母。

参考：https://wiki.owasp.org/index.php/SCG_WS_Apache
https://www.cnblogs.com/engeng/articles/5948089.html