apache解析漏洞

复现环境

win2003(x64)

phpstudy2016

Apache/2.4.23

PHP/5.4.45

复现过程

①.先在文件根目录，建立123.php内容为123

 

PHP解析正常

②.再创建一个456无后缀的文件，内容为456

无后缀，但是apache还是解析为PHP

 

 

③.创建一个789.php.360文件 内容为789

APACHE无法识别360，往左继续识别。能识别出PHP就解析为PHP

防御方法

在配置文件httpd.conf或httpd-vhosts.conf中加入

<FileMatch ".+\.ph(p[3457]?|t|tml)\."> Require all denied </FileMatch>