0x00维持权限隐藏后门
一般我们上传的木马都是脚本文件,管理员进行定期检查的时候容易发现,但是可以通过配置htaccess,让后缀为jpg、png、jpeg、gif等文件以脚本文件解析,配置如下(只有php才有htaccess,jsp没有):
AddType application/x-httpd-php .jpg
0x01限制对敏感文件和后台的访问
在日常网站维护中,很容易输入/login.php /login.html /admin.jsp 等目录直接 进行后台管理登录界面,从而导致对后台管理员用户进行暴力破解,未授权访问等操作,这里可以通过配置htaccess做限制:首先建立一个目录如:/zengtao,在该目录下建一个index.php文件并写入代码:
<?php
$SecretCode="test";
setcookie("SecureAdminSession",$SecretCode,0,"/");
header("Location: /eyoucms/login.php");
?>
然后在.htaccess文件中配置
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{REQUEST_URI} ^/eyoucms/login.php
RewriteCond %{HTTP_COOKIE} !SecureAdminSession=test
RewriteRule .* - [L,F]
</IfModule>
现在只有访问/zengtao目录才能进入后台,直接/login.php进入不了!当然这里也可以通过配置htaccess直接禁止外部访问一些敏感目录
0x02关闭文件列表和限制IP白名单访问
只需要在当前目录夹下的.htaccess文件中的最后一行加上
Options All -Indexes
以下配置方法可能会导致整个站都无法访问,在htaccess中配置可以用来关闭网站,只需要在该网站根目录htaccess下写上
<Files ~ ".*">
Order allow,deny
allow from 192.168.1.1/24 仅仅允许该段下的IP访问
Deny from all
</Files>
其他
Options +Indexes:显示目录下所有文件
Options -Indexes:隐藏目录下所有文件 (上面已经介绍过)
IndexOptions +FancyIndexing:显示目录下所有文件,文件前面包含档案类型的小图示
IndexOptions -FancyIndexing : 显示目录下所有文件,但不包含文件类型的小图示
IndexIgnore *.php *.exe:隐藏特定的文件, 其余文件正常显示(隐藏所有的php和exe文件)
参考:
https://www.cnblogs.com/beyang/p/7357787.html
http://article.nxpop.com/col/778.html