Запретить переопределять .htaccess в подпапках

@Etyuhibosecyu · Регистрация: 13.07.2017

Студворк — интернет-сервис помощи студентам

Например, я хочу поместить .htaccess в корень, и чтобы никакой злоумышленник не подсадил фейковый .htaccess в подпапку. Что для этого нужно? Директива AllowOverride None не подходит, так как уже пробовал - вызывает 500 Internal Server Error.

@Etyuhibosecyu · 22.10.2022, 12:17 **[ТС]**

Сообщение от estic

причем php может выполнять и такие файлы: shell.php.jpg

Я только хотел спросить, поможет ли разрешение загружать только *.jpg, *.png, *.zip и *.rar. А если в дополнение к этому запретить загружать файлы, в имени которых больше одной точки, тогда хоть нельзя будет подсадить "шелл"?

@estic · 22.10.2022, 12:19

К предыдущему сообщению. Но попробуйте сделать "engine off" для подкаталогов. Я обычно сразу для всего корня запрещаю в конфигурации сервера.

Добавлено через 1 минуту

Сообщение от Etyuhibosecyu

А если в дополнение к этому запретить загружать файлы, в имени которых больше одной точки, тогда хоть нельзя будет подсадить "шелл"?

По идее нельзя.

@Etyuhibosecyu · 22.10.2022, 12:19 **[ТС]**

Сообщение от estic

Но попробуйте сделать "engine off" для подкаталогов.

А не будет ли это конфликтовать с RewriteEngine on?

@estic · 22.10.2022, 12:21

https://www.php.net/manual/ru/... ration.php

@Etyuhibosecyu · 22.10.2022, 12:22 **[ТС]**

Сообщение от estic

https://www.php.net/manual/ru/... ration.php

Там нет ответа на этот вопрос:

Сообщение от Etyuhibosecyu

А не будет ли это конфликтовать с RewriteEngine on?

@estic · 22.10.2022, 12:23

Сообщение от Etyuhibosecyu

А не будет ли это конфликтовать с RewriteEngine on?

Видимо, нужно в подкаталогах создавать свои .htaccess для "engine off".

@Etyuhibosecyu · 22.10.2022, 12:25 **[ТС]**

Сообщение от estic

Видимо, нужно в подкаталогах создавать свои .htaccess для "engine off".

В каждом подкаталоге?

@estic · 22.10.2022, 12:31

Сообщение от Etyuhibosecyu

В каждом подкаталоге?

По идее достаточно в каждом непосредственном подкаталоге корня, т.к. мне достаточно одного запрета на всю ветвь корня. Но проверьте. Эти .htaccess - одна сплошная головная боль

Добавлено через 1 минуту

Сообщение от estic

По идее достаточно в каждом непосредственном подкаталоге корня

Причем достаточно в тех, в которых ваш софт позволяет сохранять загрузки. Как я писал выше, это обычно один или несколько специальных каталогов.

Добавлено через 39 секунд
files, images, uploads и т.п.

@Etyuhibosecyu · 22.10.2022, 12:34 **[ТС]**

Сообщение от estic

Причем достаточно в тех, в которых ваш софт позволяет сохранять загрузки.

То есть без прямого сохранения загрузок скрипт не вставить? А если, например, вписать его в какое-нибудь текстовое поле?

Добавлено через 47 секунд

Сообщение от Etyuhibosecyu

А если, например, вписать его в какое-нибудь текстовое поле?

Или даже без него, отправить запрос со скриптом через Postman?

@estic · 22.10.2022, 12:38

Сообщение от Etyuhibosecyu

А если, например, вписать его в какое-нибудь текстовое поле?

Как писал выше, в серьезном софте это все тщательно проверяется. Никаких трюков наподобие фрагментов путей "/../" он позволять не должен.

Добавлено через 1 минуту

Сообщение от Etyuhibosecyu

Или даже без него, отправить запрос со скриптом через Postman?

Все в любом случае проходит через ваш софт. С остальным любой Web-сервер вполне успешно справляется.

@Etyuhibosecyu · 22.10.2022, 13:14 **[ТС]**

Сообщение от estic

Все в любом случае проходит через ваш софт.

Возможно, оффтоп, но с поправкой на то, что мы уже вдвоем тут. Как можно проверить, например, переданный через Postman заголовок, не выполнив его? С текстовым полем еще более-менее понятно, какая-то функция, начинающаяся с escape, при желании найду. А если скрипт влепили в заголовок через Postman, можно ли его удалить оттуда, не выполнив при этом? И кроме того, у заголовка же много полей, можно даже создавать свои, как проверить все?

Добавлено через 28 минут
estic, в любом случае спасибо за полезные советы, обязательно подумаю над ними!

Новые блоги и статьи Все статьи Все блоги /
Особенности gif сгенерированных в Си russiannick 21.10.2026 Рассмотрим генерацию gif файлов, которые в Си имеют свои особенности. Gif представляет собой графический формат популярный в интернете. Посмотрим на палитру. Gif файл сгенерированный в си отличается. . .	FPS контроллер с анимированными Y-Bot и 3D-звуком miniaudio (Box3D, Recast, BehaviorTree.CPP, ozz-animation, ImGui, OpenGL и SDL3) 8Observer8 18.10.2026 Содержание блога \| English Version Полное мультиплатформенное руководство по стартовому проекту с FPS-контроллером игрока, анимированными роботами Y-Bot с 4-слойным блендингом, 3D-физикой Box3D,. . .	Локальный http сервер Argus19 17.10.2026 Локальный http сервер На работе, на двух локальных компьютерах круглосуточно работают программы опроса приборов с записью в книги Excel,которые раз в сутки записываются на сервер компании. Т. к. . . .	Копировать Windows на новый диск на UEFI damix 17.10.2026 https:/ / uriesk. wordpress. com/ 2016/ 11/ 01/ move-window-10-to-ssd-on-a-uefi-dualboot-system-with-basic-linux-tools/ TL DR Вставляем диск, а старый подключаем через переходник, грузимся с лайва. . .
ИИ не может найти нужный язык в списке Supersumestria 05.10.2026 Я ему даю вот такое изображение и прошу найти и подчеркнуть немецкий язык. Возвращает он вот это: https:/ / i. **********/ vqBWLe2. png Нужную строчку в 3й колонке просто выдумал. . Это. . .	Новая последняя моя музыка в SUNO zorxor 05.10.2026 Здравствуйте, дорогие мои друзья! С большой радостью я хотел бы представить вам свою новую последнею музыку, которую сгенерировала мне по моей просьбе нейросеть SUNO. С уважением, zorxor. Это. . .	Программный домашний кинотеатр russiannick 27.09.2026 Сподобился на программный домашний кинотеатр. В качестве ЯВУ по традиции выбрал js. В помощники взял Яндекс-Алису. Было создано три зала на разные интересы. исторические и ретро сериал Хичкок. . .	Беседа с ИИ о программистах, недопускающих к созданию и правке кода генеративные ИИ и причины этого zorxor 21.09.2026 Раньше я радовался или получал некоторые эмоции, пусть небольшие, но всё же, от самого процесса написания кода, рекомпиляции и запуска, видя постепенное развитие программы и прочее. А теперь лень. . .

Запретить переопределять .htaccess в подпапках

Решение

Решение

@Etyuhibosecyu Труд вопреки насмешкам 364 / 182 / 41 Регистрация: 13.07.2017 Сообщений: 4,852 Записей в блоге: 14

	Запретить переопределять .htaccess в подпапках 21.10.2022, 21:13. Показов 1876. Ответов 30 Метки нет (Все метки) Например, я хочу поместить .htaccess в корень, и чтобы никакой злоумышленник не подсадил фейковый .htaccess в подпапку. Что для этого нужно? Директива `AllowOverride None` не подходит, так как уже пробовал - вызывает 500 Internal Server Error. 0

@estic 1461 / 1014 / 232 Регистрация: 01.10.2018 Сообщений: 3,956
	22.10.2022, 12:21
	https://www.php.net/manual/ru/... ration.php 0