配置防盗链、 访问控制Directory 、访问控制FilesMatch

最新推荐文章于 2024-08-10 10:59:41 发布
最新推荐文章于 2024-08-10 10:59:41 发布
阅读量75 收藏
点赞数
文章标签： php 开发工具 python
原文链接：https://my.oschina.net/u/3791387/blog/1822158
版权

2019独角兽企业重金招聘Python工程师标准>>> hot3.png

5月31日任务

11.25 配置防盗链
11.26 访问控制Directory
11.27 访问控制FilesMatch
扩展
几种限制ip的方法 http://ask.apelearn.com/question/6519
apache 自定义header http://ask.apelearn.com/question/830
apache的keepalive和keepalivetimeout http://ask.apelearn.com/question/556

 

配置防盗链目录概要

  • 通过限制referer来实现防盗链的功能
  • 配置文件增加如下内容
Directory针对目录进行
  <Directory /data/wwwroot/www.123.com>                                    //用于定义作用于那个目录
       SetEnvIfNoCase Referer “http://www.123.com” local_ref           //定义白名单
       SetEnvIfNoCase Referer “http://123.com” local_ref                   //定义白名单
       SetEnvIfNoCase Referer “^$” local_ref                                       //定义空的页面的白名单
       <filesmatch “.(txt|doc|mp3|zip|rar|jpg|gif|png)”>                      //定义规则
           Order Allow,Deny                                                                   //定义访问控制
           Allow from env=local_ref                                                        
       </filesmatch>
   </Directory>

防盗链

  • 防盗链的定义
  • 此内容不在自己服务器上，而通过技术手段，绕过别人放广告有利益的最终页，直接在自己的有广告有利益的页面上向最终用户提供此内容。 常常是一些名不见经传的小网站来盗取一些有实力的大网站的地址（比如一些音乐、图片、软件的下载地址）然后放置在自己的网站中，通过这种方法盗取大网站的空间和流量。
  • 为什么会产生盗链
  • 一般浏览有一个重要的现象就是一个完整的页面并不是一次全部传送到客户端的。如果请求的是一个带有许多图片和其它信息的页面，那么最先的一个Http请求被传送回来的是这个页面的文本，然后通过客户端的浏览器对这段文本的解释执行，发现其中还有图片，那么客户端的浏览器会再发送一条Http请求，当这个请求被处理后那么这个图片文件会被传送到客户端，然后浏览器会将图片安放到页面的正确位置，就这样一个完整的页面也许要经过发送多条Http请求才能够被完整的显示。基于这样的机制，就会产生一个问题，那就是盗链问题：就是一个网站中如果没有起页面中所说的信息，例如图片信息，那么它完全可以将这个图片的连接到别的网站。这样没有任何资源的网站利用了别的网站的资源来展示给浏览者，提高了自己的访问量，而大部分浏览者又不会很容易地发现，这样显然，对于那个被利用了资源的网站是不公平的。一些不良网站为了不增加成本而扩充自己站点内容，经常盗用其他网站的链接。一方面损害了原网站的合法利益，另一方面又加重了服务器的负担。

配置防盗链

  • 打开虚拟主机配置文件
  • 需要添加的配置文件
Directory针对目录进行
   <Directory /data/wwwroot/www.111.com>                                    //用于定义作用于哪个目录，配置防盗链，就是定义本站点
        SetEnvIfNoCase Referer “http://www.111.com” local_ref           //定义Referer白名单
        SetEnvIfNoCase Referer “http://aaa.com” local_ref                   //定义白名单
        SetEnvIfNoCase Referer “^$” local_ref                                       //定义空的Referer页面为白名单
        <filesmatch “.(txt|doc|mp3|zip|rar|jpg|gif|png)”>                      //定义规则，这里的filesmatch中f 和 m 可以大写可以小写
            Order Allow,Deny                                                                   //定义访问控制，order用来定义访问顺序
            Allow from env=local_ref                                                        
        </filesmatch>
    </Directory>
  • 未更改前的配置文件
<VirtualHost *:80>
    DocumentRoot "/data/wwwroot/abc.com"
    ServerName abc.com
    ServerAlias www.abc.com www.123.com
    ErrorLog "logs/abc.com-error_log"
    CustomLog "logs/abc.com-access_log" common
</VirtualHost>

<VirtualHost *:80>
    DocumentRoot "/data/wwwroot/111.com"
    ServerName 111.com
    ServerAlias www.example.com  2111.com.cn
   # <Directory /data/wwwroot/111.com> 
   # <FilesMatch 123.php>
   #     AllowOverride AuthConfig
   #     AuthName "111.com user auth"
   #     AuthType Basic
   #     AuthUserFile /data/.htpasswd
   #     require valid-user
   # </FilesMatch>
    #</Directory>
   <IfModule mod_rewrite.c>
        RewriteEngine on
        RewriteCond %{HTTP_HOST} !^111.com$
        RewriteRule ^/(.*)$ http://111.com/$1 [R=301,L]
</IfModule>
<IfModule mod_expires.c>
    ExpiresActive on
    ExpiresByType image/gif  "access plus 1 days"
    ExpiresByType image/jpeg "access plus 24 hours"
    ExpiresByType image/png "access plus 24 hours"
    ExpiresByType text/css "now plus 2 hour"
    ExpiresByType application/x-javascript "now plus 2 hours"
    ExpiresByType application/javascript "now plus 2 hours"
    ExpiresByType application/x-shockwave-flash "now plus 2 hours"
    ExpiresDefault "now plus 0 min"
</IfModule>
        <Directory /data/wwwroot/www.111.com>
        SetEnvIfNoCase Referer "http://www.111.com" local_ref
        SetEnvIfNoCase Referer "http://111.com" local_ref
       # SetEnvIfNoCase Referer "^$" local_ref
        <filesmatch "\.(txt|doc|mp3|zip|rar|jpg|gif)">
            Order Allow,Deny
            Allow from env=local_ref
        </filesmatch>
    </Directory>
 ErrorLog "logs/111.com-error_log"
SetEnvIf Request_URI ".*\.gif$" img
    SetEnvIf Request_URI ".*\.jpg$" img
    SetEnvIf Request_URI ".*\.png$" img
    SetEnvIf Request_URI ".*\.bmp$" img
    SetEnvIf Request_URI ".*\.swf$" img
    SetEnvIf Request_URI ".*\.js$" img
    SetEnvIf Request_URI ".*\.css$" img
CustomLog "|/usr/local/apache2.4/bin/rotatelogs -l logs/123.com-access_%Y%m%d.log 86400" combined env=!img
</VirtualHost>
  • 更改后的配置文件，并将空的Referer页面为白名单 注释掉
    • 将# SetEnvIfNoCase Referer "^$" local_ref
[root@yong-02 ~]# vim /usr/local/apache2/conf/extra/httpd-vhosts.conf


<VirtualHost *:80>
    DocumentRoot "/data/wwwroot/abc.com"
    ServerName abc.com
    ServerAlias www.abc.com www.123.com
    ErrorLog "logs/abc.com-error_log"
    CustomLog "logs/abc.com-access_log" common
</VirtualHost>

<VirtualHost *:80>
    DocumentRoot "/data/wwwroot/111.com"
    ServerName 111.com
    ServerAlias www.example.com  2111.com.cn
   # <Directory /data/wwwroot/111.com> 
   # <FilesMatch 123.php>
   #     AllowOverride AuthConfig
   #     AuthName "111.com user auth"
   #     AuthType Basic
   #     AuthUserFile /data/.htpasswd
   #     require valid-user
   # </FilesMatch>
    #</Directory>
        <Directory /data/wwwroot/111.com>
        SetEnvIfNoCase Referer "http://www.111.com" local_ref
        SetEnvIfNoCase Referer "http://aaa.com" local_ref
       # SetEnvIfNoCase Referer "^$" local_ref
        <filesmatch "\.(txt|doc|mp3|zip|rar|jpg|gif|png)">
            Order Allow,Deny
            Allow from env=local_ref
        </filesmatch>
    </Directory>
    ErrorLog "logs/111.com-error_log"
SetEnvIf Request_URI ".*\.gif$" img
    SetEnvIf Request_URI ".*\.jpg$" img
    SetEnvIf Request_URI ".*\.png$" img
    SetEnvIf Request_URI ".*\.bmp$" img
    SetEnvIf Request_URI ".*\.swf$" img
    SetEnvIf Request_URI ".*\.js$" img
    SetEnvIf Request_URI ".*\.css$" img
CustomLog "|/usr/local/apache2/bin/rotatelogs -l logs/123.com-access_%Y%m%d.log 86400" combined env=!img
</VirtualHost>
  • 检查配置文件是否存在语法错误，并重新加载配置文件
[root@yong-02 111.com]# /usr/local/apache2/bin/apachectl -t
Syntax OK
[root@yong-02 111.com]# /usr/local/apache2/bin/apachectl graceful
  • 用浏览器访问111.com/images/baidu.png图片，会显示Forbidden

224859_8iCg_3791387.png

  • 这时在论坛创建一个帖子，将连接放进帖子中，再去访问，会看到还是Forbidden，这是因为Referer是ask.apelearn.com
  • 若是想在帖子中正常访问图片，可以将ask.apelearn.com加入到白名单中
      SetEnvIfNoCase Referer "http://ask.apelearn.com" local_ref
  • 然后检查配置文件是否存在语法错误，并重新加载配置文件
[root@yong-02 111.com]# /usr/local/apache2/bin/apachectl -t
Syntax OK
[root@yong-02 111.com]# /usr/local/apache2/bin/apachectl graceful
  • 这时再来在帖子中访问图片，会看到正常访问

225534_neWN_3791387.png

225423_r7qy_3791387.png

  • 若是想要直接就可以在浏览器中访问，则只需要去虚拟主机配置文件中打开空的Referer
[root@yong-02 ~]# vim /usr/local/apache2/conf/extra/httpd-vhosts.conf

更改前，去除前面的注释符
 # SetEnvIfNoCase Referer "^$" local_ref
更改后
SetEnvIfNoCase Referer "^$" local_ref
  • 然后检查配置文件语法错误，并重启配置文件
  • 这时候在浏览器中访问访问图片就会正常显示

用curl测试

  • 用curl命令去访问图片
[root@yong-02 111.com]# curl -x127.0.0.1:80 111.com/images/baidu.png -I
HTTP/1.1 200 OK
Date: Thu, 31 May 2018 15:01:30 GMT
Server: Apache/2.4.33 (Unix) PHP/7.1.6
Last-Modified: Wed, 30 May 2018 13:46:34 GMT
ETag: "a46d-56d6c9435c280"
Accept-Ranges: bytes
Content-Length: 42093
Content-Type: image/png
  • 当然也可以用curl去模拟Referer，使用 -e 参数指定Referer
[root@yong-02 111.com]# curl -e "http://www.qq.com/123.txt" -x127.0.0.1:80 111.com/images/baidu.png -I
HTTP/1.1 403 Forbidden
Date: Thu, 31 May 2018 15:04:21 GMT
Server: Apache/2.4.33 (Unix) PHP/7.1.6
Content-Type: text/html; charset=iso-8859-1

[root@yong-02 111.com]# curl -e "http://111.com/123.php" -x127.0.0.1:80 111.com/images/baidu.png -I
HTTP/1.1 200 OK
Date: Thu, 31 May 2018 15:04:41 GMT
Server: Apache/2.4.33 (Unix) PHP/7.1.6
Last-Modified: Wed, 30 May 2018 13:46:34 GMT
ETag: "a46d-56d6c9435c280"
Accept-Ranges: bytes
Content-Length: 42093
Content-Type: image/png
  • curl -e 格式
    • curl -e "http://"

 

访问控制 – Directory目录概要

  • 核心配置文件内容
  <Directory /data/wwwroot/111.com/admin/>
        Order deny,allow
        Deny from all
        Allow from 127.0.0.1
    </Directory>
  • curl测试状态码为403则被限制访问了

访问控制

  • 打开虚拟主机配置文件
  • Order，用来定义顺序，是先deny，还是allow
    • 若是先deny，就先执行deny的语句
    • 若是先allow，就先执行allow的语句
    • 特殊性：
      • 不管IP是否匹配到，它都会从头到尾执行完
[root@yong-02 ~]# vim /usr/local/apache2/conf/extra/httpd-vhosts.conf

将代码放在防盗链代码上面，防止冲突
  <Directory /data/wwwroot/111.com/admin/>
        Order deny,allow
        Deny from all
        Allow from 127.0.0.1
    </Directory>
  • 创建一个admin目录，并新建一个index.php文件，内容为121212
[root@yong-02 111.com]# mkdir admin
[root@yong-02 111.com]# cd admin/
[root@yong-02 admin]# touch index.php
[root@yong-02 admin]# echo "12113414123">index.php
[root@yong-02 admin]# cat index.php 
12113414123
  • 检查语法错误，并重新加载配置文件
[root@yong-02 admin]# /usr/local/apache2/bin/apachectl -t
Syntax OK
[root@yong-02 admin]# /usr/local/apache2/bin/apachectl graceful
  • 限制的原 IP
  • curl -x127.0.0.1:80 111.com/admin/index.php -I
    • 127.0.0.1是目标 IP ，而要访问的IP，也要使用127.0.0.1去访问，最终就是目标IP和原IP是同一个IP，自己和自己通信，限制IP是 原 IP
    • -x指定的是目标IP
[root@yong-02 admin]# curl -x127.0.0.1:80 111.com/admin/index.php -I
HTTP/1.1 200 OK
Date: Thu, 31 May 2018 15:21:22 GMT
Server: Apache/2.4.33 (Unix) PHP/7.1.6
X-Powered-By: PHP/7.1.6
Content-Type: text/html; charset=UTF-8
  • 在更换目标IP，那么原IP也会跟着变化
[root@yong-02 admin]# curl -x192.168.180.135:80 111.com/admin/index.php -I
HTTP/1.1 403 Forbidden
Date: Thu, 31 May 2018 15:24:48 GMT
Server: Apache/2.4.33 (Unix) PHP/7.1.6
Content-Type: text/html; charset=iso-8859-1
  • 浏览器访问111.com/admin/index.php会显示forbidden

232536_onIs_3791387.png

  • 访问控制是用目录的形式来做的，首先规定一个目录访问到哪里去的（目录必须使用绝对路径），然后是Oerder，控制的对象就是来源IP

访问控制 – FilesMatch目录概要

  • 核心配置文件内容
  <Directory /data/wwwroot/www.123.com>         //功能作用目录
    <FilesMatch  "admin.php(.*)">            //针对admin.php(.*)这个类型的文件，进行控制
        Order deny,allow
        Deny from all
        Allow from 127.0.0.1
    </FilesMatch>
</Directory>

访问控制 – FilesMatch

  • 访问控制，除了目录形式，还是文件名去匹配（或链接）
  • 打开虚拟主机配置文件
    • 首先定义一个Directory，然后在下面在定义一个FilesMatch
[root@yong-02 admin]# vim /usr/local/apache2/conf/extra/httpd-vhosts.conf 

 <Directory /data/wwwroot/111.com>
        <FilesMatch "admin.php(.*)">
        Order deny,allow
        Deny from all
        Allow from 127.0.0.1
        </FilesMatch>
    </Directory>
  • 检查语法错误，并重新加载配置文件
[root@yong-02 admin]# /usr/local/apache2/bin/apachectl -t
Syntax OK
[root@yong-02 admin]# /usr/local/apache2/bin/apachectl graceful
  • 测试
这里没有对admin目录做任何限制，做的FilesMatch跟这个不匹配，没有遇到控制语句，所以访问是404
[root@yong-02 admin]# curl -x192.168.180.135:80 111.com/admin/fasdfasdf -I
HTTP/1.1 404 Not Found
Date: Thu, 31 May 2018 15:36:57 GMT
Server: Apache/2.4.33 (Unix) PHP/7.1.6
Content-Type: text/html; charset=iso-8859-1



有特殊符号需要用 ” 单引号括起来
[root@yong-02 111.com]# curl -x192.168.180.135:80 'http://111.com/admin.php?fasdfasdf' -I
HTTP/1.1 403 Forbidden
Date: Thu, 31 May 2018 15:44:16 GMT
Server: Apache/2.4.33 (Unix) PHP/7.1.6
Content-Type: text/html; charset=iso-8859-1

[root@yong-02 111.com]# curl -x127.0.0.1:80 'http://111.com/admin.php?fasdfasdf' -I
HTTP/1.1 404 Not Found
Date: Thu, 31 May 2018 15:44:45 GMT
Server: Apache/2.4.33 (Unix) PHP/7.1.6
Content-Type: text/html; charset=iso-8859-1

总结

  • Directory和FilesMatch 功能是一样的，只不过有时仅仅想针对一个访问的链接去做控制，那么再去控制目录则不太合适，FilesMatch可以满足一些比较个性化的需求

 

转载于:https://my.oschina.net/u/3791387/blog/1822158

weixin_33778544
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
linux配置防盗链及访问控1
08-08
【Linux配置防盗链及访问控制详解】 在互联网中，网站的资源，如图片、视频、音乐和文档等，经常被其他站点无授权地引用，这种行为被称为“盗链”。为防止这种现象，我们可以利用Linux服务器上的Apache Web服务器...
apache rewrite防盗链三例
10-01
这个示例使用 VirtualHost 和 FilesMatch 实现防盗链。 VirtualHost 用于设置虚拟主机， FilesMatch 用于设置文件类型。在这个示例中，我们使用 VirtualHost 设置了一个虚拟主机： `*:80>` `ServerAdmin webmaster@...
11.25 配置防盗链
weixin_33805557的博客
12-21 85
2019独角兽企业重金招聘Python工程师标准>>> ...
apache配置<Files> <FilesMatch> <Location><LocationMatch>指令
yueyecheshou1980的博客
05-13 2039
apache配置 指令 指令 说明 包含作用于匹配指定文件名的指令 语法 … 作用域 server config, virtual host, directory, .htaccess 覆盖项 All 状态 核心© 模块 core 指令提供了基于文件名的访问控制，类似于和指令。它将配对一个指令。在此配置段中定义的指令将作用于其基本名称(不是完整的路径)与指定的文件名相符的对象。段将根据它们在配置文件中出现的顺序被处理
配置防盗链 访问控制Directory 访问控制FilesMatch
b305723的专栏
03-10 68
转载于:https://www.cnblogs.com/zhaocundang/p/8541412.html
配置防盗链 访问控制Directory 访问控制FilesMatch······
weixin_33739646的博客
07-02 164
2019独角兽企业重金招聘Python工程师标准>>> ...
43.配置防盗链 访问控制Directory及FilesMatch
chym2015的博客
07-19 176
11.25 配置防盗链 11.26 访问控制Directory（针对一个目录做限制） 11.27 访问控制FilesMatch（针对一个文件或链接做限制） 扩展 几种限制ip的方法 http://ask.apelearn.com/question/6519 apache 自定义hea...
配置防盗链，访问控制Directory，访问控制FilesMatch
chuangu7098的博客
12-06 922
配置防盗链 通过限制referer来实现防盗链的功能 防盗链：通俗来说，就是不让别人盗用你网站上的资源。 配置文件增加如下内容： <Directory "/data/wwwroot/www.123.com/"> Options FollowSymLinks...
配置防盗链-访问控制Directory与FilesMatch
weixin_33887443的博客
08-06 78
2019独角兽企业重金招聘Python工程师标准>>> ...
配置防盗链、访问控制Directory、FilesMatch
qq_39225153的博客
05-31 408
配置防盗链首先来了解一下什么是盗链，全称是盗取链接，假如我们的网站有很多好看的图片，别人可以查看我们网站图片的链接，然后应用在他的网站上，这样的话，去访问他的网站，实际上消耗的是我们的流量（因为实际链接在我们这里），这样我们就不得不去配置防盗链，使得别人不能复制我们图片的链接。防盗链的实现原理就不得不从HTTP协议说起，在HTTP协议中，有一个表头字段叫referer，采用URL的格式来表示从哪儿...
设置防盗链，访问控制
aoli_shuai的博客
12-25 500
设置防盗链防盗链的作用是，我们网站的图片，只能通过我们自己的网站去访问，其他网站借用不行。 比如：我们的网站，被用户上传了很多图片，而用户又在他自己的网站上加上了我们网站图片的链接，就直接能访问了。 这样可以节省他网站的带宽一、图片防盗链原理 http标准协议中有专门的字段记录referer 一来可以追溯上一个入站地址是什么 二来对于资源文件，可以跟踪到包含显示他的网页地址是什么 因此
php实现图片文件与下载文件防盗链的方法
12-19
因此，为了增强安全性，可以结合使用多种防盗链技术，如限制IP访问、设置访问令牌、使用SSL等。 总的来说，防止图片和下载文件被盗链是一项持续的挑战，需要不断更新和优化策略。通过结合PHP编程与服务器配置，我们...
Apache简介及安全配置方案
09-15
12. 限制对特定目录的访问：使用<Directory>指令禁止对后台或其他敏感目录的访问。 13. IP白名单访问控制：仅允许特定IP访问特定目录，如内部接口。 14. 拒绝特定文件类型：通过指令限制对日志文件等敏感文件类型...
深入apache配置文件httpd.conf的部分参数说明
10-27
1. `<Directory>`指令：这个指令用于定义对特定目录的访问权限。例如，`<Directory "/var/www/html">`将设置 `/var/www/html` 目录下的文件和子目录的访问规则。在此块内，你可以设定`Options`、`AllowOverride`、`...
LNMP环境搭建论坛
qq_63652578的博客
08-07 969
root@Rocky8-node1 ~]# mv upload/* /usr/share/nginx/html/ #把upload下的所有内容移动到/usr/share/nginx/html/[root@Rocky8-node1 ~]# sed -i '/^group =/ c \group = nginx' /etc/php-fpm.d/www.conf #将组改为nginx。
[FSCTF 2023]细狗2.0
2301_81462177的博客
08-09 214
cmd=ls${lFS}-1剁FSS9-后面加个$与{类似，起截断作用，$9是当前系统shel进程第九个参数持有者始终为空字符串。cmd=lsSlFS-l单纯$IFS2,IFS2被bash解释器当做变量名，输不出来结果，加一个{}就固定了变量名。ca\t/*123*/f* 发现不可以，看题解后发现使用${IFS}绕过。cmd=ls$lFs$9-1 (这里1到9应该都可以)ca\t$IFS/f* 可得flag。尝试输入cat /f*
ctfhub文件包含
a666666688的博客
08-07 479
文件的内容，通常这个文件包含一些敏感信息，比如CTF比赛中的flag。这样就可以通过浏览器或其他HTTP客户端看到。，直接访问这个URL将导致服务器读取并返回。
代码随想录算法训练营Day35 | 01背包问题 | 416. 分割等和子集
最新发布
wonderlandlja的博客
08-10 101
【代码】代码随想录算法训练营Day35 | 01背包问题 | 416. 分割等和子集。
Linux配置防盗链与文件访问控制详解
本文档主要介绍了如何在Linux环境下配置Apache服务器的防盗链功能以及访问控制策略。防盗链是一种防止网站资源被非法复制或滥用的技术，主要关注图片、视频、音频和文档等文件的保护。 首先，理解`referer`的概念是...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值