1

我制作了一个简单的 .htaccess 文件，它可以防止用户加载系统核心文件夹中的 url。然而，这并不完全有效。

如果我加载http://domain.com/systemfolder/，我得到404 File not found，这很酷，但是如果我输入http://domain.com/systemfolder（注意 URL 没有尾随），如果从到/，mod_dir 会重定向。如果我禁用该特定目录，我会得到而不是，因此攻击者能够识别我的系统。我该如何解决？http://domain.com/systemfolderhttp://domain.com/systemfolder/mod_dir401 Permission denied404 File not found

附加信息：我正在使用mod_rewrite404'ing。

我当前的 .htaccess（即在系统根目录中的所有系统文件夹中）如下所示：

<IfModule mod_dir.c> 
    DirectorySlash Off 
</IfModule> 
<IfModule mod_rewrite.c> 
    RewriteEngine on 
    RewriteRule ^(.*)$ - [R=404,L] 
</IfModule> 
<IfModule !mod_rewrite.c> 
    Order allow,deny Deny from all 
</IfModule>

你可能会问自己：他为什么要那样做？？？

答案很简单：基本上任何像 Joomla!、WordPress 或 Drupal 这样的开源 CMS 都容易受到攻击，因为这些都不是 100% 防弹的。一旦破解者发现漏洞，他基本上会告诉成千上万的破解者，他们就有机会破解该系统。这些系统不是 100% 防弹的原因是 10% 是因为人类只是人类，而 90% 是因为有成千上万的人为系统做出贡献，并不是每个人都能产生安全的代码。数千人可以相对较快地发布修补程序这一事实弥补了这一事实。

破解者的第一步是识别这样的系统。如果他能够wp-admin在 url 中添加额外的内容并且它可以工作，那么他基本上可以识别 WordPress 网站。Cracker 的第二步是寻找漏洞。第三步是利用该漏洞。

我的方法是在第 1 步停止破解程序，这样他就无法识别系统。当然，页脚中可能会有系统的签名，但这需要人工交互。通过屏蔽每个 url 并通过基于键的 web 内容加载（如果通过加载在图像末尾附加一次键的页面在 uri 中不提供有效键，用户将基本上无法加载任何图像或视频网址）。管理将在专用服务器上，仅对某些 IP 开放，所以是的，我认为它会非常安全。

4

0 回答 0