apache mod_mime и двойные расширения

[zerkms]

Господа, а вы знали, что если файл назвать

foobar.php.123, тогда он не отдастся как октет-стрим (ожидаемо), а выполнится интерпретатором (ояебу!)

м?

 

[Ragazzo]

да, когда-то давно читал про эту проблему...

 

[Вурдалак]

zerkms, да, один из способов взлома при сохранении файла с пользовательским именем.

 

[fixxxer]

А не надо держать включенными модули, которые не нужны.

 

[zerkms]

А не надо держать включенными модули, которые не нужны.

Т.е. mod_mime не нужен?

 

[grigori]

давно пора перестать юзать апач, знаешь

 

[zerkms]

давно пора перестать юзать апач, знаешь

ещё посоветуй пол сменить, ага

 

[grigori]

ну, тогда ешь свой кактус

<FilesMatch "\.php$">
SetHandler application/x-httpd-php
</FilesMatch>
<FilesMatch "\.php\..*">
SetHandler none
</FilesMatch>

 

[zerkms]

Да я понимаю, как это исправить. Другое дело, что я удивлён, что такое вообще оказалось реальным.

 

[grigori]

ты раньше не слышал про взлом сайтов через аплоад скриптов с двойным расшрением?
реально надо класть в папки с аплоадеными файлами .htaccess с phpengine off

 

[fixxxer]

А точно дело в mod_mime, а не в mod_negotiation multiviews?

 

[zerkms]

grigori
нет :-S

 

[zerkms]

А точно дело в mod_mime, а не в mod_negotiation multiviews?

У меня счас мультивьюс не включен, а двойное расширение работает

 

[grigori]

А точно дело в mod_mime, а не в mod_negotiation multiviews?

http://httpd.apache.org/docs/2.0/mod/mod_mime.html#multipleext

 

[fixxxer]

http://httpd.apache.org/docs/2.0/mod/mod_mime.html#multipleext

И без единого AddLanguage все равно такое поведение? Какое говно.

Не зря я не люблю апач. Такое поведение ж нафиг никому не нужно, кроме как авторам апача с их по-дурацки сделанным мультиязычным мануалом. Брр.

 

[grigori]

fixxxer у меня апача нет уже много лет
если помнишь, пол-года назад обсуждали cgi.fix_pathinfo, что с nginx-fcgi подобная дырка может быть, если включить cgi.fix_pathinfo и в location ~ .php не проверять наличие скрипта,
что обычно и делается в целях совместимости с апачем

 

[fixxxer]

Да я тоже сто лет живого индейца не видел.

У fix_pathinfo изначально несколько другая природа (cgi-совместимость), там все таки со слэшом, а не с точкой. Но похоже, да

 

[sobachnik]

ты раньше не слышал про взлом сайтов через аплоад скриптов с двойным расшрением?

Давно было интересно, для чего вообще сохранять оригинальное название файла?... А если разные файлы с одинаковым названием будут загружать? Просматривать загруженные файлы и приписывать _2?

Если только в б.д. не записывается информация о файлах ещё может имеет смысл, чтобы понятно было, что за файл, а так...