VSB9.4.1中web.xml可以被前台访问处理

2016-08-03    

问题描述：

客户反映，网站前台可以访问到WEB-INF\web.xml文件，存在安全隐患。

解决方法：

修改httpd.conf配置文件，将LimitExcept写到</Directory>指令中，配置如下：

<Directory />

  <LimitExcept GET HEAD POST>

       Order allow,deny

       Deny from all

  </LimitExcept>

   Options None

   AllowOverride None

   Order deny,allow

   Deny from all

</Directory>

示例文件：

测试默认域名已被禁用，除GET HEAD POST以外的HTTP请求方法也已被禁用。问题解决。

经检查，这个问题仅存在于9.4.1的版本，9.5.0中已经处理。

原因说明：

Apache中配置段的合并的顺序是：

<Directory>

<DirectoryMatch> (和<Directory ~>)

<Files>和<FilesMatch>同时处理；

<Location>和<LocationMatch>同时处理；

<Location>指令是在最后执行的，所以在配置文件中，我们虽然在<Directory>指令中禁用了默认域名访问，但最后执行<Location>指令判断时，此处是允许GET HEAD POST三种HTTP方法请求访问的。

阅读资料：http://www.php100.com/html/webkaifa/apache/2009/0418/1193.html