文件上传漏洞——.htaccess和.user.ini配置文件的应用

一 . htaccess配置文件

htaccess文件是Apache服务器中的一个配置文件，只对该文件所在的目录下的文件起作用。

在htaccess配置文件下有这样一条配置：

AddType application/x-httpd-php .php .jpg

这条配置的意思是，php和jpg格式的文件，都会被当做php文件解析；我们可以在追加其他的后缀名，都将其解析为php文件；但是这样未免有些繁琐。

所以还有另外一条配置：

SetHandler application/x-httpd-php

这条配置，会将该目录下的所有文件当做php文件进行解析。

下面列出一个示例：

在uploads-labs的第四关中，几乎过滤掉了所有的脚本文件文件，源码如下：

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
   
    if (file_exists(UPLOAD_PATH)) {
   
        $deny_ext = array(".php",".php5",".php4",".php3",".php2",".php1",".html",".htm",".phtml",".pht",".pHp",".pHp5",