Apache HTTPD 未知后缀解析漏洞

最新推荐文章于 2024-02-17 20:22:01 发布
最新推荐文章于 2024-02-17 20:22:01 发布
阅读量1.3k 收藏
点赞数
分类专栏： 漏洞复现 文章标签： apache 安全漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45022281/article/details/120745587
版权

Apache HTTPD 未知后缀解析漏洞

漏洞描述：

Apache HTTPD不安全的配置导致未知后缀解析漏洞

风险等级：

高

影响版本：

无关版本，是由网站管理员错误的安全配置导致的漏洞

漏洞复现：
[1] 先尝试上传一个PHP文件进行抓包
在这里插入图片描述
[2] 测试黑白名单
在这里插入图片描述

上传成功说明是黑名单

[3] 再上传一个别的后缀名，访问测试一下
在这里插入图片描述

基础环境：

靶场环境upload-labs/Pass-07

汐泊槐
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Apache后缀名解析漏洞分析和防御方法
09-15
主要介绍了Apache后缀名解析漏洞分析和防御方法,后缀解析漏洞通常通过伪造PHP后辍,来上传文件到服务器中,很致命的一漏洞,需要的朋友可以参考下
Apache HTTPD 多后缀解析漏洞 漏洞复现
ADummy的博客
02-21 636
Apache HTTPD 多后缀解析漏洞 by ADummy 0x00利用路线 ​ 上传php文件—>Burpsuite抓包改包—>php文件上传成功—>getshell 0x01漏洞介绍 ​ 影响版本Apache HTTPD 支持一个文件拥有多个后缀，并为不同后缀执行不同的指令。比如，如下配置文件： AddType text/html .html AddLanguage zh-CN .cn ​ 其给.html后缀增加了media-type，值为text/html；给.cn后缀增
Apache httpd 后缀解析漏洞[VULFOCUS]
m0_37638874的博客
09-06 875
当遇到未知的文件后缀名时，会继续向前匹配，网站有白名单过滤，不给上传。对文件后缀名的识别是。
不安全的配置导致apache未知后缀名解析漏洞分析
qq_43571759的博客
04-26 1044
Apache HTTPD不安全的配置导致未知后缀解析漏洞 该环境版本： PHP 7.x 最新版 Apache HTTPD 2.4.10 稳定版（来自debian源） 由此可知，该漏洞与Apache、php版本无关，属于用户配置不当造成的解析漏洞。 漏洞分析 图中的配置文件中高亮部分也是此漏洞的关键所在 <FilesMatch ".+\.ph(p[345]?|t|tml)$"> S...
Linux下安装Apache httpd.doc
08-18
Linux下安装Apache httpd.doc
apache httpd-2.4.59
最新发布
04-15
apache httpd-2.4.59
Windows版本apache httpd
09-28
Windows版本apache httpd
apache httpd
09-11
peoxy balancer 配置 ProxyPass /11serv balancer://saleserv-cluster/ nofailover=On
Apache中Httpd.conf详解
09-04
技术分享：Apache中Httpd.conf详解
漏洞复现之 Apache HTTPD 多后缀解析漏洞
白帽子九一
12-25 362
漏洞简介：   Apache HTTPD 支持一个文件拥有多个后缀，并为不同后缀执行不同的指令。比如，如下配置文件： AddType text/html .html AddLanguage zh-CN .cn 其给.html后缀增加了media-type，值为text/html；给.cn后缀增加了语言，值为zh-CN。此时，如果用户请求文件index.cn.html，他将返回一个中文的html页面。 以上就是Apache多后缀的特性。如果运维人员给.php后缀增加了处理器： AddHandler ap
Apache httpd 后缀解析
YouthBelief的博客
11-05 700
Apache httpd 后缀解析Apache httpd 后缀解析0x01 漏洞描述0x02 影响范围0x03 漏洞复现0x04 漏洞修复 Apache httpd 后缀解析 0x01 漏洞描述 Apache HTTPD 支持一个文件拥有多个后缀，并为不同后缀执行不同的指令。 那么，在有多个后缀的情况下，只要一个文件含有.php后缀的文件即将被识别成PHP文件，没必要是最后一个后缀。利用这个特性，将会造成一个可以绕过上传白名单的解析漏洞。 0x02 影响范围 该漏洞和apache版本和php版本无关,属于
Apache漏洞后缀名解析漏洞
m0_71287197的博客
07-06 318
500是服务器内部错误，说明是有文件的 Apache 漏洞之后缀名解析漏洞 我们都知道windows2003 + IIS6.0下，如果目录结构中有xxx.asp这样的目录，那么所有这个目录下的文件不管扩展名为什么，都会当作asp来解析。我们一般称这个漏洞为 windows2003+iis6.0目录解析漏洞。 但是大家可能不知道的是，apache服务器也存在类似的解析漏洞我们来做下实验，我在本地搭建好了一个apache+php的测试平台 两个文件phpinfo.php phpinfo.
防止apache的php扩展名解析漏洞
cnbird's blog
10-05 782
vitter@sefechina.nethttp://blog.securitycn.net今天看到ecshop后台拿webshell的文章，想起来很长时间很多版本存在的apache的php扩展名解析漏洞，主要问题是：不管文件最后后缀为什么，只要是.php.*结尾，就会被Apache服务器解析成php文件，问题是apache如果在mime.types文件里面没有定义的扩展名在诸如x1.x2.x
Apache HTTPD 多后缀解析漏洞复现
记录笔记
04-15 2733
Apache HTTPD 多后缀解析漏洞复现 Apache Httpd支持一个文件拥有多个后缀,不同的后缀执行不同的命令,也就是说当我们上传的文件中只要后缀名含有php,该文件就可以被解析成php文件,利用Apache httpd这个特性,就可以绕过上传文件的白名单。该漏洞和apache版本和php版本无关,属于用户配置不当造成的解析漏洞 由于管理员的错误配置, AddHandler application/x-httpd-php .php,在有多个后缀的情况下,只要一个文件含有.php后缀的文件即将被识别
Apache httpd 解析漏洞
xiwangyizhicunzai的博客
10-23 4492
Apache HTTPD 换行解析漏洞（CVE-2017-15715） apache通过mod_php来运行脚本，其2.4.0-2.4.29中存在apache换行解析漏洞，在解析php时xxx.php\x0A将被按照PHP后缀进行解析，导致绕过一些服务器的安全策略。 docker-compose exec apache bash 这个很奇怪，一进去一片空白，一看源码才知道只有后端，没有前端，意思...
apache漏洞复现-多后缀解析漏洞，换行解析漏洞，2.4.49,2.4.50
weixin_64655821的博客
10-13 1971
apache漏洞复现-多后缀解析漏洞，换行解析漏洞，2.4.49,2.4.50
Apache Httpd 常见漏洞解析（全）
黑战士的博客
02-17 2325
Apache HTTPD是一款HTTP服务器，它可以通过mod_php来运行PHP网页。其2.4.0~2.4.29版本中存在一个解析漏洞。在解析PHP时，1.php\x0A将被按照PHP后缀进行解析，导致绕过一些服务器的安全策略。
vulhub-httpd-apache_parsing_vulnerability
Ronin_qianmo的博客
07-27 390
1、漏洞描述 在有多个后缀的情况下，只要一个文件含有.php后缀的文件即将被识别成PHP文件，没必要是最后一个后缀。利用这个特性，将会造成一个可以绕过上传白名单的解析漏洞。 2、漏洞原理 Apache HTTPD 支持一个文件拥有多个后缀，并为不同后缀执行不同的指令。比如，如下配置文件： AddType text/html .html AddLanguage zh-CN .cn 其给.html后缀增加了media-type，值为text/html；给.cn后缀增加了语言，值为zh-CN。此时，如果用户请求文
Apache httpd
05-31
Apache httpd（全称Apache HTTP Server）是一个开源的Web服务器软件，由Apache软件基金会开发和维护。它是目前Internet上最流行的Web服务器软件之一，可运行在多种操作系统上，例如UNIX、Linux、Windows等。 Apache...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值