Apache目录遍历攻击防护及禁止配置详解

时间：2026-06-26 07:16

防止Apache目录遍历攻击需多措并举。严格过滤用户输入的路径参数，在配置中限制访问目录并禁用AllowOverride。利用Require指令和防火墙控制访问源，启用mod_rewrite与mod_security模块拦截恶意请求。限制文件上传类型与文件名，保持软件更新并监控日志。综合实施这些措施可构建有效纵深防御。

防止Apache目录遍历攻击，是Web服务器安全里绕不开的一环。这类攻击虽然经典，但杀伤力从不打折，尤其当服务器配置存在漏洞时，攻击者能像翻跟斗一样轻松访问到本不该暴露的文件。好在这不是无解的问题，下面这套防护思路，基本上覆盖了从配置到底层加固的各个关键节点。

怎样防止Apache目录遍历攻击

1. 使用安全的文件路径处理

验证用户输入：用户提供的路径参数，一定要做严格过滤。别直接拿来就用——攻击者最喜欢在路径里塞../这类跳级符号。加一道白名单校验或者正则清洗，能挡掉不少低级但致命的尝试。
限制访问目录：在Apache配置里明确指定哪些目录是允许公开访问的，比如/var/www/下的内容可以开放，但/etc/、/usr/local/这类系统目录，必须提前封死。

2. 配置Apache的`AllowOverride`和`Require`指令

限制.htaccess文件的威力：在指令中把AllowOverride设为None，等于切断了用户通过.htaccess绕过安全规则的通道。别小看这个设置，很多渗透测试案例正是从这里撕开口子的。
用Require指令精准限流：明确写出允许访问的IP或用户范围，比如只让内网192.168.x.x的请求通过，其他一律拒绝。代码示例：
```
Require all grantedRequire ip 192.168.1.1
```

3. 启用`mod_rewrite`模块

重写规则做一道拦截网：通过mod_rewrite把不安全的请求转走或者直接拒绝。例如，只允许访问实际存在的文件或目录，否则一律交给默认入口处理，这样目录遍历的路径请求就会落空。配置片段：
```
RewriteEngine OnRewriteCond %{REQUEST_FILENAME} !-fRewriteCond %{REQUEST_FILENAME} !-dRewriteRule ^(.*)$ /index.html [L]
```

4. 使用`mod_security`模块

配置安全规则，自动拦截：安装mod_security后，可以设定规则检测请求中的路径遍历特征——比如含有连续点号或斜杠组合的字符串，直接返回403。示例：
```
SecRule REQUEST_FILENAME "@rx \.\." "id:1000001,deny,status:403"
```
这条规则能挡住大量的自动化扫描工具。

5. 限制文件下载和上传

验证文件名，拒绝危险字符：无论是下载还是上传，文件名里出现../或其他路径跳转字符串，直接拒绝。不要试图去“清洗”——最简单的做法就是白名单，只允许字母数字和下划线。
使用白名单限制文件类型：只允许特定扩展名（如.jpg、.png、.pdf）的文件上传，同时检查文件头是否与扩展名匹配。这一步能堵住很多利用上传功能进行的路径遍历攻击。

6. 定期更新和修补

保持Apache版本最新：每个新版本通常都修复了已知的漏洞，包括目录遍历相关的安全缺陷。别嫌麻烦，定期升级是最省心的防线。
及时打补丁：操作系统和第三方库的补丁也别忘了——很多攻击链条是从底层环境突破的。

7. 监控和日志记录

开启详细日志：Apache的访问日志里藏着攻击者的“脚印”。如果没开详细记录，出事之后连回溯的基础都没有。建议记录请求URI、来源IP、User-Agent等关键字段。
用监控工具盯住异常行为：比如短时间内大量包含../的请求，或者对/etc/passwd等敏感路径的访问，都该触发告警。