《Web安全程序设计与实践》课件项目15.pptxVIP

项目15文件解析漏洞【项目描述】本项目对文件解析漏洞和防护进行实训。本项目包含三个任务，首先建立一个具有文件解析功能的网站，接下来利用文件解析漏洞在目标网站上传并执行PHP木马，最后使用文件名字符串过滤结合修改Apache配置文件的方式防护文件解析漏洞的利用。通过本项目实训，可以解释和分析文件解析漏洞产生的原理和危害，能够防护文件解析漏洞。【知识储备】Apache服务器文件解析漏洞原理Apache服务器对文件扩展名的解析特性为按从右到左的顺序识别文件后缀，直至找到能匹配配置文件中设置的可以解析的后缀。在【任务1-4】节配置的PHP7解析类型为.php、.html和.htm，即PHP只对这三种类型的文件进行解析。如果在服务器存在一个名称为test.php.abc.xyz的文件，由于.abc和.xyz这两种文件后缀都不能识别，Apache就会把该文件识别成test.php并交给PHP解析。由于这是Apache服务器的一个解析特性，因此在任何版本的Apache服务器都存在该漏洞，攻击者可以上传一个文件名形如test.php.abc的PHP网页木马到服务器进，绕过网站对上传文件类型的限制。Apache服务器还有一个.htaccess配置文件解析漏洞。此文件可以提供在Web网站目录中改变Web配置的方法。比如，可以实现网页重定向、自定义错误页面、允许/阻止特定的用户的访问等。但是，如果在此