.htaccess 设置配置

Question 1

最大的问题是：

它实在是太大了，也太复杂了。
它给你一种虚假的安全感。
它将阻止合法用户。

1. 的问题在于，它会对服务器造成过大的负载，处理每个请求的所有规则，并且当规则如此复杂时，即使是最轻微的变化也会产生很大的影响。规则非常庞大，也使得很难知道整个事情。

2. 的问题（虚假的安全感）是，由于有此 RewriteRule 保护，您在编写服务器端代码时会不太小心，或者升级应用程序的速度会更慢。更多信息为什么它是错误的安全感。

我相信我不需要告诉你为什么阻止合法用户是一个问题。

举几个例子：

FilesMatch以下代码片段中的第二行是多余的。第二行可以阻止的所有内容都已被第一行阻止：

<FilesMatch "\.(htaccess|htpasswd|ini|phps|fla|psd|log|sh)$">
 Order Allow,Deny
 Deny from all
</FilesMatch>

<FilesMatch "(\.htaccess|\.htpasswd)$">
Order Allow,Deny
Deny from all
</FilesMatch>

以下FilesMatch这两个也.htaccess再次重复匹配文件，但这次不区分大小写。

这里的第二个也是多余的：

RewriteCond %{REQUEST_METHOD} ^(TRACE|TRACK)
RewriteRule .* - [F]

# Anti cross site tracing - protection
RewriteCond %{REQUEST_METHOD} ^TRACE 
RewriteRule .* - [F]

有些台词是逐字重复的。这是：

RewriteCond %{REQUEST_METHOD} (GET|POST) [NC]

在第一个之前出现三次RewriteRule。

您有许多RewriteCond指令[OR]，但并非所有指令都有此选项。据我统计，您有 79 个RewriteCond指令，其中 10 个指令[OR]在第一个指令之前没有此选项RewriteRule。跟踪哪些指令允许，哪些指令不允许，这超出了我的智力范围。

添加一条没有的新规则，[OR]或者在之前添加一条规则并忘记在前一条规则中RewriteRule添加，会改变该规则之前和之后所有其他规则的逻辑，直到下一个。[OR]RewriteCondRewriteCondRewriteRule

在安全方面，这里的一些规则是可靠的，其中一些规则（例如阻止提供 .htaccess 文件的规则）甚至包含在默认的 Apache 配置文件中（这可能使它们在您的 .htaccess 中变得多余），但其中许多规则是基于黑名单关键字的，这不起作用。

SQL 注入攻击可能发生在任何用户控制的参数中。您已检查%{QUERY_STRING}和中的 SQL 相关关键字列表，%{HTTP_COOKIE}但您遗漏了%{REQUEST_URI}、、、、和。这绝不是完整的用户控制参数列表，攻击者可以随意将%{HTTP_USER_AGENT}他们想要的任何标%{HTTP_REFERER}头添加到请求中。%{HTTP_FORWARDED}%{HTTP_HOST}%{HTTP_PROXY_CONNECTION}%{HTTP_ACCEPT}

这种方式的黑名单从根本上来说存在缺陷。如果您将查询字符串的某些部分作为 SQL 运行，那么您遇到的问题将远比此 .htaccess 文件大得多。总会有您遗漏的关键字，或者编码关键字的方式让您遗漏它。

以下代码片段就是一个例子：

h%20ttp://
ht%20tp://
htt%20p://
http%20://

攻击者可以在查询字符串中放置 URL 编码的空格，它仍会被正确解析和请求。但你错过了所有这些组合：

%20http://
h%20ttp%20://
ht%20tp%20://
htt%20p%20://
ht%20t%20p%20://
h%20t%20t%20p%20://

由于“坏”字符串的数量实际上是无限的，因此尝试在 .htaccess 文件中列举所有“坏”字符串是徒劳的。

有以下备忘单：SQL 注入和跨站脚本其设计目的正是逃避此类过滤。

阻止合法用户出奇地容易。各种各样的人都可以添加查询字符串。此示例来自我的 Google 阅读器帐户，并添加到我单击以查看原始博客条目的链接中：

?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+DilbertDailyStrip+(Dilbert+Daily+Strip)&utm_content=Google+Reader

如果该 RSS 源名为“The Casting Couch”并链接到您的网站，您就会给我一个 403 错误。因为关键字“cast”出现在查询字符串中，所以即使我是合法用户，我也被屏蔽了。

这种模式：

^(.*)//(.*)$

最终很可能会将您亲自发送到您网站的某人与以下人匹配：

RewriteCond %{HTTP_COOKIE} (<|>|'|%0A|%0D|%27|%3C|%3E|%00) [NC,OR]

意味着您永远不能在任何 cookie 中使用撇号、回车符或斜线。

总结

别这么做。这是个坏主意。

在您的应用中添加安全性并尝试 mod_安全。

Answer