.htaccess - 使目录不可见

Question

我有一个 .htaccess 文件，目前看起来像：

<Files .htaccess>
    order allow,deny
    deny from all
</Files>

Options All -Indexes
IndexIgnore *

# Respond to /include/ with 404 instead of 403
RewriteEngine On
RedirectMatch 404 ^/include(/?|/.*)$

我试图阻止每个人都知道 /include/ 存在，但是我遇到了一个问题。

尽管访问 http://www.example.com/include 会返回 404，但浏览器会添加结束斜杠（因此给出 http://www.example.com/include/ ）这表明该目录是事实上存在，但被伪装了。当实际访问 404 时，不会附加结束斜杠。

有没有办法阻止这种行为？

Answer 1

1.您可以使用DirectorySlash Off告诉Apache不要在目录末尾添加尾部斜杠。

2.如果您实际上没有使用重写引擎（基于您提供的代码），为什么要使用RewriteEngine On？ RedirectMatch 与 mod_rewrite 无关。

3.如果你想在这里使用mod_rewrite，那么试试这个规则——它会为/include文件夹返回404代码（有或没有尾部斜杠）以及该文件内的任何资源（例如 /include/main.php 等）。

RewriteEngine On

RewriteRule ^include(/|/.+)?$ - [R=404,L]

Answer 2

通过点文件泄漏目录存在

在某些情况下，以下代码行不足以隐藏您的目录：

RewriteEngine On
RewriteRule ^include(/|/.+)?$ - [R=404,L]

这些行不会阻止像 include/.php、include/ 这样的请求。 ht、include/.htaccess（相反，您将收到 403 Forbidden 错误，该错误表明目录 include 存在）。相反，人们希望禁止访问所有点文件，以防止泄漏文件夹存在（.git、.php（只是“.php”） - 没有文件名），.htaccess，...）。 （旁注：我猜 .htaccess 文件和主 Apache 配置文件之间可能存在一些问题，您可以在其中禁止访问“.ht”文件并允许执行“.php”文件 - 这就是为什么这样的请求会做自己的事情而不是简单地重写为 404 错误，而是返回 403 错误）。

因此，您可以通过发送以下请求来绕过上述规则（您将收到 403 Forbidden 错误）：

• http://example.com/include/.php → 您将收到 403 错误
• http://example.com/include/.ht → 您将收到 403 错误
• http://example.com/include/.htaccess → 您将收到403 错误

如果目录不存在，您可以验证是否会收到 404 Not Found 错误：

• http://example.com/DOESNT-EXIST/.php → 您将收到 404错误
• http://example.com/DOESNT-EXIST/.ht → 您将收到404错误
• http://example.com/DOESNT-EXIST/.htaccess → 您将收到 404 错误

---

可能的修复方法

您需要匹配所有点文件。因此，首先您禁止访问它们（403 错误），然后您只需将 403 错误重写为 404 错误。

Options -Indexes
RewriteEngine On
RewriteRule ^secret.*$ - [R=404,L]

RewriteRule ^404_error$ - [R=404,L]

<FilesMatch "^\\.">
    order allow,deny

    # 403 error
    deny from all

    # Rewrite 403 error to 404 error
    # Error document must be:
    # - "a string with error text" OR
    # - an absolute path which starts with "/" OR
    # - URL (you'll get a redirect)
    ErrorDocument 403 /404_error
</FilesMatch>

这些请求现已被阻止，您将收到 404 Not Found 错误：

• /secret/treasure.php（该文件夹中的所有文件和目录）
• /secret
• /secret/
• /secret?42
• /secret/ ?23
• /secret/.php
• /secret/.htaccess

---

这是我类似问题的答案： 将 htaccess 目录的请求重写为 404 错误

Answer 3

除了 RedirectMatch 之外，还可以使用重写规则。