别只盯着.php后缀：利用.htaccess文件在ElefantCMS漏洞中绕过限制的两种思路
突破.htaccess限制：ElefantCMS漏洞利用的进阶技巧
当Web服务器通过.htaccess禁用PHP执行时，传统的webshell上传往往功亏一篑。ElefantCMS 1.3.12版本的文件上传漏洞(CVE-2017-20063)正面临这样的困境——攻击者可以上传文件，却因服务器配置而无法执行PHP代码。本文将深入剖析两种突破.htaccess限制的技术路线，不仅解决"上传却无法执行"的核心痛点，更揭示Apache配置规则背后的攻防逻辑。
1. .htaccess在Web安全中的双重角色
.htaccess文件是Apache服务器中一个极具威力的配置文件，它能够在不重启服务的情况下动态修改目录级设置。在安全防御场景中，管理员常利用它实现以下保护：
# 典型安全配置示例 php_flag engine off # 禁用PHP解析 Options -Indexes # 禁止目录浏览 Deny from all # 拒绝所有访问但当这类文件落入攻击者手中时，它便从防御盾牌变成了攻击利器。在ElefantCMS漏洞利用过程中，我们观察到服务器存在以下特征：
- 上传的PHP文件返回空白页面
- HTML文件中的PHP代码未被解析
- 存在可编辑的.htaccess文件
这些现象强烈暗示着服务器通过.htaccess关闭了PHP引擎。传统的webshell上传遇到这种情况时，攻击者通常会陷入以下误区：
- 不断尝试不同后缀名(.php5, .phtml等)
- 寻找其他漏洞路径
- 忽视现有.htaccess的编辑权限
2. 直接修改现有.htaccess文件
当发现目标系统存在可编辑的.htaccess文件时，最直接的突破方式就是修改其内容。以下是具体操作步骤和关键技术点：
定位.htaccess文件
通过目录遍历或漏洞利用获取文件路径，常见位置包括：- /var/www/html/.htaccess
- /public_html/.htaccess
- 当前上传目录下的.htaccess
分析现有规则
典型防御配置通常包含：php_flag engine off Options -Indexes实施规则覆盖
修改或添加以下指令之一：# 方法1：重新开启PHP引擎 php_flag engine on # 方法2：添加新的解析类型 AddType application/x-httpd-php .html .txt # 方法3：移除限制指令 php_flag engine off
关键注意事项：
- 确保有足够的文件写入权限
- 修改后清除缓存或等待配置生效
- 测试不同扩展名的解析情况
下表对比了三种修改策略的优劣：
| 方法 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| 开启PHP引擎 | 全面恢复PHP执行 | 可能触发安全警报 | 需要完整PHP功能 |
| 添加解析类型 | 隐蔽性强 | 仅对特定后缀有效 | 需要配合特定文件上传 |
| 移除限制指令 | 简单直接 | 可能被其他规则覆盖 | 确认无继承限制时 |
3. 上传自定义.htaccess文件
当无法修改现有文件时（如权限不足或文件锁定），上传自定义.htaccess成为替代方案。这一过程需要注意几个技术细节：
文件命名与上传
- 确保文件名精确为
.htaccess - 利用漏洞上传到目标目录
- 验证文件是否成功写入
- 确保文件名精确为
内容构造技巧
有效的攻击性.htaccess应包含：# 基本攻击配置 AddHandler application/x-httpd-php .html php_value auto_prepend_file "/path/to/shell.txt" # 更隐蔽的变体 <FilesMatch "\.(jpg|png)$"> SetHandler application/x-httpd-php </FilesMatch>权限与覆盖问题
- 新上传的.htaccess可能需要特定权限(644)
- 检查是否存在父目录的AllowOverride限制
- 测试规则优先级（自定义规则可能被系统级配置覆盖）
实战案例： 假设我们上传了一个名为shell.html的webshell，但服务器不解析PHP代码。通过上传包含以下内容的.htaccess文件：
<FilesMatch "shell\.html$"> SetHandler application/x-httpd-php </FilesMatch>这将使服务器把特定文件识别为PHP脚本，同时不影响其他HTML文件的正常处理，大幅降低被发现的概率。
4. 高级绕过技术与疑难解决
实际渗透测试中常会遇到各种意外情况，以下是几种典型问题及解决方案：
场景1：.htaccess文件已存在且不可编辑
- 尝试通过路径穿越上传到子目录
- 利用符号链接漏洞
- 测试其他可写目录的Override权限
场景2：修改后规则不生效
- 检查Apache主配置中的AllowOverride设置
- 验证是否需清除opcode缓存
- 测试不同级别的目录位置
场景3：触发服务器安全机制
- 使用更隐蔽的规则语法
- 分阶段修改配置（先允许HTML解析，再引入PHP）
- 结合其他漏洞如SSRF或文件包含
以下是一个结合多种技术的完整攻击链示例：
- 上传测试文件
info.txt确认可写目录 - 上传伪装成图片的.htaccess文件：
# 文件名：.htaccess.jpg AddType application/x-httpd-php .jpg - 重命名文件去除.jpg后缀
- 上传PHP webshell作为jpg文件
- 访问webshell.jpg执行代码
这种分步操作能有效绕过基础的文件类型检测，同时保持较高的成功率。
5. 防御视角下的对抗措施
理解攻击手法是为了更好地防御。从管理员角度，可采取以下措施防范此类攻击：
文件系统层防护
- 设置.htaccess文件为只读
- 限制上传目录的执行权限
- 使用文件完整性监控
Apache配置加固
# 禁用危险指令 AllowOverride None # 限制特定目录的Override权限 <Directory "/var/www/uploads"> AllowOverride None </Directory>应用层防护
- 实施严格的文件上传验证
- 定期审计服务器配置
- 监控异常的.htaccess修改行为
在ElefantCMS特定场景下，管理员应立即升级到修复版本，并对现有安装进行安全审查，特别检查/filemanager/upload/drop路径的访问控制。
真正有效的安全防护不是单点加固，而是建立从网络到应用的多层防御体系。对.htaccess文件的管控只是其中一环，但往往是阻止webshell执行的关键屏障。