httpd.confAllowOverride設定に関するセキュリティの質問
.htaccessで書き換えコマンドを使用する必要があるWebサイトで作業しています。それは機能しておらず、最終的に私が設定する必要がある問題を追跡しました
Apachehttpd.confの「AllowOverrideAll」
設定を「AllowOverrideNone」から「AllowOverrideAll」に変更するときに注意する必要があるセキュリティ上の懸念があるかどうか疑問に思っていますか？
ありがとう！
良い質問です。答えは「はい」です。ここで評価するリスクがあります。これにより、特定のディレクトリへの書き込みアクセス権を持つユーザーが.htaccessファイルを作成し、さまざまな設定を上書きできるようになります。
- 認証設定
- IPホワイトリスト/ブラックリストなどの制限
- ファイルタイプの処理方法
- そのディレクトリのオプション
したがって、仮想ホストのグローバルホワイトリストを設定した具体的な例では、ユーザーは書き込み可能なディレクトリ内のホワイトリストを上書きできます。または、許可されたユーザーを必要とするグローバル設定を上書きする可能性があります。
実行できることの詳細については、以下を参照してください。 http://httpd.Apache.org/docs/1.3/mod/core.html#allowoverride
共有システムでない場合、通常はWebサーバーインスタンス全体が同じユーザーとして実行されるため、リスクはかなり最小限に抑えられます。したがって、これは、誰かがWebサーバーをクラックした場合に何が起こるかについては実際には関係ありません。誰かがあなたのスクリプトに穴を見つけて任意のファイルを書くことができれば、それは悪用される可能性があります。たとえば、ある種のアップロードインターフェイスがあるとします。