apache 多重拡張子 - どさにっき

2015年2月23日(月) ■ apache 多重拡張子 _ mod_mime の多重拡張子の扱いって常識じゃなかったのか。apache をインストールしたことある人ならば、manual/hoge.html.ja という二重拡張子を持つファイルが存在してることはドキュメントを読まなくても知ってるはずだと思うんだけどなぁ。AddHandler/AddType/AddCharset/AddLanguage/AddEncoding/AddOutputFilter はいずれも拡張子によって挙動を変えるわけで、単一の拡張子しか扱えないとすればこれらのディレクティブは排他にしか使えなくて困るじゃないか。 _ で、これはセキュリティの懸念があるから使うなというのがよくわからん。hoge.php.jpg というファイルをアップロードされて、それをそのままダウンロードしたらそいつが PHP スクリプトとして

[kenichiice]

「状況によりけりで、AddHandler を使うのが危険だとは一概に言えないと思うんだけどなぁ。 」

[yusk_y]

apache 多重拡張子 - どさにっき

[knjname]

“apache をインストールしたことある人ならば、manual/hoge.html.ja という二重拡張子を持つファイルが存在してることはドキュメントを読まなくても知ってるはずだと思うんだけどなぁ”

[Kenji_s]

「mod_mime の多重拡張子の扱いって常識じゃなかったのか」

[n2s]

<del>SetHandlerに何か嫌な思い出でもあるのかな</del>bakとかで終わるファイルはdenyする設定も必須だけど、らちがあかないのでいっそ*.*.*は全部denyしろと。

[stealthinu]

『むしろ、PHP の実行を \.php$ に限定した結果、hoge.php.bak みたいにサーバ上に残ってる古いファイルの中身が丸見えになっちゃうことを心配した方がいいんじゃ』なるほどな指摘