Apache HTTPd 2.4.49 路径穿越漏洞（CVE-2021-41773）复现

最新推荐文章于 2025-03-24 22:13:05 发布

雨笋教育

最新推荐文章于 2025-03-24 22:13:05 发布

阅读量2.5k

点赞数

文章标签： apache linux 运维安全漏洞网络安全

本文链接：https://blog.youkuaiyun.com/weixin_59086772/article/details/121861406

版权

本文介绍了Apache HTTP Server 2.4.49版本的路径穿越漏洞（CVE-2021-41773），该漏洞可能导致文件读取甚至命令执行。文章详细讲解了漏洞概述、环境搭建过程、漏洞复现步骤，以及修复建议。读者可以通过复现漏洞加深理解，并采取措施更新到最新版本以防止安全风险。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

0x00 漏洞概述

2021年10月5日，Apache官方发布了一批漏洞信息，其中Apache HTTP Server路径穿越漏洞CVE-2021-41773。

满足条件：

版本等于2.4.49
穿越的目录允许被访问，比如配置了Require all granted。（默认情况下是不允许的）

0x01环境搭建

使用docker搭建Apache HTTPd 2.4.49版本服务器：

Dockerfile

FROM vulhub/httpd:2.4.49

LABEL maintainer="phithon <root@leavesongs.com>"

RUN set -ex \
  && sed -i "s|#LoadModule cgid_module modules/mod_cgid.so|LoadModule cgid_module modules/mod_cgid.so|g" /usr/local/apache2/conf/httpd.conf \
  && sed -i "s|#LoadModule cgi_module modules/mod_cgi.so|LoadModule cgi_module modules/mod_cgi.so|g" /usr/local/apache2/conf/httpd.conf \
  && sed -i "s|#Include conf/extra/httpd-autoindex.conf|Include conf/extra/httpd-autoindex.conf|g" /usr/local/apache2/conf/httpd.conf \
  && cat /usr/local/apache2/conf/httpd.c