收集来的Htaccess文件用法大全

本文介绍了如何通过.htaccess文件进行时区设置、实现搜索引擎友好的301重定向、屏蔽下载对话框、统一网站URL及自定义错误页面等技巧。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

本文固定链接:http://www.verydemo.com/demo_c116_i72556.html

鉴于Justhost上使用.htaccess文件的机会不少,使用的面也比较多,特地转一个相关的文章来供大家参考。

1.时区设置

有些时候,当你在PHP里使用date或mktime函数时,由于时区的不同,它会显示出一些很奇怪的信息。下面是解决这个问题的方法之一。就是设置你的服务器的时区。你可以在这里找到所有支持的时区的清单。 

SetEnv TZ Australia/Melbourne   

2. 搜索引擎友好的301永久转向方法

为什么这是搜索引擎友好的呢?因为现在很多现代的搜索引擎都有能根据检查301永久转向来更新它现有的记录的功能。 

Redirect 301 http://www.baidu.com   

3. 屏蔽下载对话框

通常,当你下载东西的时候,你会看到一个对话框询问你是保持这个文件还是直接打开它。如果你不想看到这个东西,你可以把下面的一段代码放到你的.htaccess文件里。 

AddType application/octet-stream .pdf   

AddType application/octet-stream .zip   

AddType application/octet-stream .mov   

4. 省去www前缀

SEO的一个原则是,确保你的网站只有一个URL。因此,你需要把所有的通过www的访问转向的非www,或者反这来。 

RewriteEngine On   

RewriteBase /   

RewriteCond %{HTTP_HOST} ^www.baidu.com[NC]   

RewriteRule ^(.*)$ http://baidu.com/$1 [L,R=301]   

5. 个性化Error页面

对每个错误代码定制自己个性化的错误页面。 

ErrorDocument 401 /…………………………………………………………………………

<think>好的,我现在需要整理一份关于文件上传白名单绕过方法的汇总。首先,我应该回顾一下常见的文件上传漏洞及其防御机制,特别是白名单验证的原理。用户可能已经了解基础的黑名单绕过方法,但白名单通常更安全,所以需要深入探讨如何绕过白名单。 首先,白名单验证通常基于文件扩展名,只允许特定类型如.jpg、.png等。但攻击者可能会尝试修改扩展名,比如使用大小写混合,比如.PHp,或者添加特殊后缀如.php.jpg。不过现代服务器通常对大小写不敏感,这种方法可能不太有效,但需要确认。 接下来,考虑文件名中的特殊字符。例如,在Apache中,如果上传.php.xxxx,服务器可能因为无法识别最后一个后缀而回退到.php。或者利用截断,比如%00截断,但PHP版本升级后可能修复了这个问题,需要具体情况分析。 然后是MIME类型验证绕过。虽然白名单检查扩展名,但有些应用同时检查Content-Type,比如image/jpeg。攻击者可以修改上传请求中的MIME类型,但这可能不足以绕过双重检查。 文件内容验证也是一个点。例如,图片马,将恶意代码附加到图片中,利用服务器端的解析漏洞。或者利用Exif信息注入PHP代码,但需要服务器有相应的解析漏洞。 路径或文件名解析漏洞。比如上传的文件名为test.jpg.php,某些服务器可能解析为PHP。或者在IIS中,分号后的内容被忽略,如test.asp;.jpg可能被当作asp执行。 此外,还有.htaccess或web.config文件的上传,如果允许覆盖服务器配置,攻击者可能执行任意文件类型。但白名单通常不允许上传这些配置文件,所以可能性较低,但需要检查是否存在配置错误。 还有利用双扩展名,比如test.php.jpg,依赖于服务器解析方式。或者使用罕见扩展名,如.pHp5、.phtml等,如果服务器配置为执行这些扩展名。 另外,考虑上传的文件被重命名时的竞争条件,但白名单通常重命名不会保留原扩展名,可能不太适用。 需要收集实际案例和具体服务器的特性,比如Apache、IIS、Nginx的不同解析方式。例如,Nginx可能将test.jpg/.php解析为php执行,如果配置不当。 最后,总结这些方法,并提醒防御措施,如严格检查扩展名、使用随机文件名、禁用危险功能等。同时强调组合验证的重要性,如扩展名、MIME、文件头、内容扫描等。</think>### 文件上传白名单绕过方法汇总 文件上传白名单机制通过**仅允许指定扩展名**(如 `.jpg`, `.png`)来防御攻击,但攻击者仍可能通过以下方式绕过: --- #### 一、扩展名伪造类 1. **大小写混淆** - 例:上传 `.PhP` 或 `.Jsp`,若服务端未统一转为小写,可能绕过检查。 - 防御:强制转为小写后校验。 2. **多重扩展名** - 例:`shell.php.jpg`,利用部分解析漏洞(如 Apache 优先解析最后一个有效后缀)。 - 防御:仅取最后一个扩展名校验。 3. **特殊字符截断** - 例:`shell.php%00.jpg`(需 PHP <5.3.4),利用空字节截断文件名。 - 防御:过滤 `%00` 等非法字符。 --- #### 二、解析漏洞类 1. **服务器解析特性** - **Apache**:上传 `shell.php.xxx`,若 `.xxx` 未被识别,可能解析为 `.php`。 - **IIS**:`shell.asp;.jpg` 可能被解析为 `.asp`(分号截断特性)。 - **Nginx**:路径 `/test.jpg/.php` 可能触发 PHP 解析(错误配置时)。 2. **文件包含漏洞组合利用** - 上传图片马(如 `shell.jpg` 含 PHP 代码),通过文件包含漏洞(如 `include($_GET['file'])`)执行。 --- #### 三、内容欺骗类 1. **文件头伪造** - 在恶意脚本前添加图片头(如 `GIF89a`),绕过文件内容检测。 - 例:`GIF89a<?php system($_GET['cmd']); ?>` 2. **Exif 注入** - 修改图片的 Exif 信息插入 PHP 代码,需服务器存在解析漏洞。 --- #### 四、配置攻击类 1. **上传 `.htaccess` 或 `web.config`** - 若允许上传配置文件,可修改规则使任意文件解析为脚本。 - 例(.htaccess): ```apache AddType application/x-httpd-php .jpg ``` --- #### 五、其他技巧 1. **超长文件名绕过** - 部分系统截断超长文件名时可能保留恶意扩展名。 2. **竞争条件攻击** - 上传临时文件后,在删除前快速访问执行。 --- ### 防御建议 1. **严格校验扩展名**:使用白名单且强制小写。 2. **重命名文件**:生成随机文件名(如 UUID)。 3. **内容检查**:校验文件头、MIME 类型及内容合法性。 4. **禁用危险函数**:如 `putenv()`、`system()`。 5. **隔离存储**:将上传文件存放在非 Web 目录。 --- 通过组合多种验证机制(扩展名 + 内容 + 重命名)可大幅提升安全性。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值