☰

O Apache usa algum outro arquivo ponto ht além de .htaccess e .htpasswd?

tag-icon • tag-icon apache-2.2 .htaccess .htpasswd
O Apache usa algum outro arquivo ponto ht além de .htaccess e .htpasswd?

Estou fortalecendo a configuração do meu servidor Apache e me perguntando se ele usa algum outro "^.ht.+"arquivo além de .htaccess e .htpasswd?

Responder1

Apache? Não.

O único que ele normalmente usa é .htaccess, mas isso é apenas devido ao padrão de AccessFileNameser AccessFileName .htaccess- altere essa configuração e o Apache não terá nenhum interesse especial em arquivos que começam com .ht.

.htpasswdnão é um padrão normal e nem é uma boa ideia; a recomendação geral é manter os arquivos de autenticação fora da raiz da web, pois existem outras maneiras (vulnerabilidades de inclusão remota de arquivos) de potencialmente obter o conteúdo do arquivo, ignorando as restrições de acesso do Apache.

Outras pessoas? Talvez.

O uso comum de .ht*"este é algum tipo de arquivo restrito/inacessível" é esperado/abusado por algumas pessoas/conteúdo/aplicativos da web, por muitos dos mesmos motivos que .htaccesssão mal interpretados por muitas pessoas como o lugar "certo" para colocar o acesso controles e reescrever regras,apesar de não ser destinado a isso. Portanto, se você desabilitar o comportamento padrão de <Files ~ "^\.ht">(por que você precisaria fazer isso para proteção?), certifique-se de que seu conteúdo não esteja abusando dessa convenção de nome de arquivo para ocultar coisas.

Responder2

.htaccessé o padrão AccessFileNameusado pelo apache. Não há nada de especial em `.htpasswd' apenas que a maioria das pessoas o usa, o que torna mais fácil para a ACL bloquear o acesso a eles. Não há nada que diga que você precisa usar esses nomes de arquivos, e se você tiver acesso ao arquivo httpd.conf, você realmente não deveria usá-los, pois eles retardam o acesso aos diretórios. Eles são bons para permitir o acesso de substituição a pessoas que não têm acesso à configuração do servidor.

Dito isto, se você não alterou os padrões usando AccessFileNamea diretiva em sua configuração e nomeou todos os seus arquivos de senha como .htpasswd, então você deve se dar bem com os dotfiles.

Responder3

aqui está como você pode verificar se está usando algum outro .htaccess:núcleo - Servidor HTTP Apache, também é isso que deve ser usado por qualquer apache, pois impediria que as pessoas o acessassem:

#
# The following lines prevent .htaccess and .htpasswd files from being 
# viewed by Web clients. 
#
<Files ~ "^\.ht">
    Order allow,deny
    Deny from all
    Satisfy All
</Files>

informação relacionada