// TAG
#apache
5 篇
安全研究实验：Apache 开启 .shtml (SSI) 解析
启用 SSI 核心依赖模块，mod_cgi仅在使用#exec指令时需要；站点配置中需通过和开启.shtml解析；配置修改后需重启 Apache 并通过测试文件验证 SSI 指令是否正常解析，同时注意控制#exec指令的使用以保障服务器安全。
阅读 →
安全研究基于 Apache 规则拦截目录扫描器请求：实测与配置指南
本文针对Web目录扫描器攻击，提出基于Apache Rewrite规则的拦截方案。通过实测6款主流扫描工具的User-Agent特征，发现Wfuzz、ffuf、Gobuster等工具具有可识别关键字（如"buster"、"Fuzz"）。方案利用mod_rewrite模块检测UA特征，匹配则返回403禁止访问。提供.htaccess和主配置文件两种实现方式，并给出验证方法。针对无UA特征的扫描器，建议配合mod_evasive模块进行行为拦截。该方案能有效阻断多数自动化
阅读 →
安全研究Apache php 两种运行模式：mod_php 与 php-fpm
PHP运行模式对比：mod_php与php-fpm的技术解析 摘要：本文深入分析PHP两种主流运行模式的技术差异。mod_php作为Apache的嵌入式模块，通过共享进程空间实现高效执行，适合中小规模应用；php-fpm采用独立进程池架构，通过FastCGI协议与Web服务器通信，支持高并发和灵活部署。文章从历史演进、技术原理、性能特性、安全隔离等方面对比两种模式，指出mod_php适合简单部署场景，而php-fpm更适应现代高并发需求。
阅读 →
红队渗透Apache 配置文件提权的实战思考
Apache配置权限滥用提权风险分析 摘要：本文分析了Linux系统中Apache配置权限被滥用的提权风险。当普通用户获得通过sudo执行Apache并加载自定义配置文件的权限时，可能被攻击者利用实现本地提权。文章详细探讨了四种主要提权路径：通过静态文件服务实现任意文件读取、利用WebDAV模块进行任意文件写入、加载恶意模块执行命令，以及通过日志管道实现RCE。每种方法都提供了具体配置示例和攻击步骤说明。最后提出了防御建议，包括限制sudo权限、配置文件校验、最小权限原则和模块加载限制等措施，以降低此类安全
阅读 →
LinuxApache 虚拟主机配置指南：从单站点到多站点
本文详细介绍了Apache虚拟主机的配置方法，重点讲解基于域名的虚拟主机技术。主要内容包括： 虚拟主机类型：比较基于域名、IP和端口三种方式的区别及适用场景 工作原理：通过HTTP请求头中的Host字段实现请求分发 配置步骤： 启用NameVirtualHost指令（Apache 2.2） 设置默认虚拟主机作为fallback 配置特定域名站点 请求处理流程：通过流程图展示请求匹配机制 常见问题：解决配置后原站点无法访问、403错误等问题
阅读 →