☰

無法在 webdav 伺服器 (apache) 上新增檔案副檔名限制

tag-icon • tag-icon apache2 webdav
無法在 webdav 伺服器 (apache) 上新增檔案副檔名限制

我已經使用 apache 在 Ubuntu 22.04 上配置了一個 webdav 伺服器。這是我的配置文件，位於啟用網站的資料夾中，其工作原理如下：

<IfModule mod_ssl.c>
<VirtualHost *:443>
        ServerAdmin %%EMAIL%%
        ServerName %%DOMAIN%%
        DocumentRoot %%PATH%%
        ErrorLog ${APACHE_LOG_DIR}/error.log
        CustomLog ${APACHE_LOG_DIR}/access.log combined

        Alias /webdav /var/www/webdav

        <Directory /var/www/webdav>
            DAV On

AuthType Digest
AuthName "webdav"
AuthUserFile /usr/local/apache/var/users.password
Require valid-user
    SetHandler None
    Options None
    AllowOverride None


        </Directory>


SSLCertificateFile /etc/letsencrypt/live/%%DOMAIN%%/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/%%DOMAIN%%/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf
</VirtualHost>
</IfModule>

問題是它允許為實例添加 php 文件，並且可以透過在 webdav 中呼叫或編輯它們來執行這些文件。這是一個明顯的安全問題。

我嘗試添加：

<FilesMatch "\.(php|jsp|cgi|pl|py)$">
    Order Allow,Deny
    Deny from all
</FilesMatch>

在 Directory 標籤內部和外部，但是，在重新啟動 apache 甚至整個伺服器後，在嘗試與 cadaver 連線時，我收到 403 Forbidden ：

cadaver %%URL%%
Authentication required for webdav on server `%%URL%%':
Username: %%USERNAME%%
Password: %%PASSWORD%%
Could not open collection:
403 Forbidden
dav:/webdav/?

然而，當我刪除 FileMatch 標籤時，我不會收到錯誤並且可以連接。

以下是重新啟動 apache 並新增 FileMatch 標籤時的 apache2 錯誤日誌（如果我也刪除 FileMatch 標籤，我也會有此日誌）：

[Sun Sep 03 20:14:01.728312 2023] [mpm_prefork:notice] [pid 1259] AH00169: caught SIGTERM, shutting down
[Sun Sep 03 20:14:01.821721 2023] [mpm_prefork:notice] [pid 1465] AH00163: Apache/2.4.41 (Ubuntu) OpenSSL/1.1.1f configured -- resuming normal operations
[Sun Sep 03 20:14:01.821792 2023] [core:notice] [pid 1465] AH00094: Command line: '/usr/sbin/apache2'

這是我嘗試連線時的日誌（如果刪除 FilesMatch 標籤，則沒有這些日誌）：

[Sun Sep 03 20:15:40.271797 2023] [access_compat:error] [pid 1467] [client %%IP%%:44836] AH01797: client denied by server configuration: /var/www/webdav/index.cgi
[Sun Sep 03 20:15:40.271967 2023] [access_compat:error] [pid 1467] [client %%IP%%:44836] AH01797: client denied by server configuration: /var/www/webdav/index.pl
[Sun Sep 03 20:15:40.272037 2023] [access_compat:error] [pid 1467] [client %%IP%%:44836] AH01797: client denied by server configuration: /var/www/webdav/index.php

相關內容