htaccess文件的使用小技巧

0x00维持权限隐藏后门

一般我们上传的木马都是脚本文件，管理员进行定期检查的时候容易发现，但是可以通过配置htaccess，让后缀为jpg、png、jpeg、gif等文件以脚本文件解析，配置如下(只有php才有htaccess，jsp没有):

AddType  application/x-httpd-php     .jpg

0x01限制对敏感文件和后台的访问

在日常网站维护中，很容易输入/login.php /login.html /admin.jsp 等目录直接 进行后台管理登录界面，从而导致对后台管理员用户进行暴力破解，未授权访问等操作，这里可以通过配置htaccess做限制:首先建立一个目录如：/zengtao,在该目录下建一个index.php文件并写入代码：

<?php
    $SecretCode="test";
    setcookie("SecureAdminSession",$SecretCode,0,"/");
    header("Location: /eyoucms/login.php");
?>

然后在.htaccess文件中配置

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{REQUEST_URI} ^/eyoucms/login.php
    RewriteCond %{HTTP_COOKIE} !SecureAdminSession=test
    RewriteRule .* - [L,F]

</IfModule>

现在只有访问/zengtao目录才能进入后台，直接/login.php进入不了！当然这里也可以通过配置htaccess直接禁止外部访问一些敏感目录

0x02关闭文件列表和限制IP白名单访问

只需要在当前目录夹下的.htaccess文件中的最后一行加上

Options All -Indexes

以下配置方法可能会导致整个站都无法访问，在htaccess中配置可以用来关闭网站，只需要在该网站根目录htaccess下写上

<Files ~ ".*">

    Order allow,deny
    allow  from 192.168.1.1/24 仅仅允许该段下的IP访问
    Deny from all

</Files>

其他

Options +Indexes：显示目录下所有文件

Options -Indexes：隐藏目录下所有文件 （上面已经介绍过）

IndexOptions +FancyIndexing：显示目录下所有文件，文件前面包含档案类型的小图示

IndexOptions -FancyIndexing ： 显示目录下所有文件，但不包含文件类型的小图示

IndexIgnore *.php *.exe：隐藏特定的文件， 其余文件正常显示（隐藏所有的php和exe文件）

参考：
https://www.cnblogs.com/beyang/p/7357787.html
http://article.nxpop.com/col/778.html