Apache后缀名解析漏洞分析和防御方法

也想出现在这里？点击联系我~

我们都知道windows2003 + IIS6.0下，如果目录结构中有xxx.asp这样的目录，那么所有这个目录下的文件不管扩展名为什么，都会当作asp来解析。我们一般称这个漏洞为windows2003+iis6.0目录解析漏洞。但是大家可能不知道的是，apache服务器也存在类似的解析漏洞。

我们来做下实验，我在本地搭建好了一个apache+php的测试平台：

两个文件phpinfo.php phpinfo.php.a ，我们来访问下phpinfo.php.a：

/wp-content/uploads/202505/27/73090.jpg这样名字的webshell，apache仍然会当作php来解析，我们再来测试下jpg。

防御方法：apache配置文件，禁止.php.这样的文件执行，配置文件里面加入。