Apache中间件漏洞：不是中间你以为的修修补补

2017年，某大型电商平台在促销前夜被拖库。中间安全团队翻遍日志，中间最后定位到一台Apache服务器——攻击者没碰任何业务代码，中间只利用了`mod_cgi`脚本的中间一个路径穿越漏洞，直接读取了数据库配置文件。中间这事当时在圈内炸了锅，中间因为那台服务器刚做完“安全加固”。中间

Apache中间件漏洞，中间本质上是中间“配置逻辑”和“版本惯性”的叠加产物。它不像Web应用漏洞那样依赖业务逻辑，中间而是中间藏在默认配置、模块交互、中间甚至补丁更新机制里。中间很多人以为漏洞是中间代码写错了，其实更多时候是管理员用错了。

拿经典的`CVE-2017-15715`来说，文件名解析差异导致访问`shell.php%0a`能绕过上传黑名单。这个漏洞不复杂，但触发条件苛刻：Apache需要开启`mod_php`，且`AllowEncodedSlashes`设置成`On`。现实中大量服务器默认关闭该选项，可总有运维为了兼容某个老旧CMS把它打开——然后忘了关。

另一个高频坑是`.htaccess`文件滥用。Apache允许目录级配置覆盖，但很多人不知道`AllowOverride`默认值是`All`。攻击者上传一个恶意`.htaccess`，就能把`cgi-handler`指到自己的脚本上。我见过某政府网站，上传目录里躺着三个这样的文件，时间跨度两年，愣是没人查过。

版本更新滞后更致命。Apache 2.4.49和2.4.50之间的差异，很多人只记得修了路径穿越（CVE-2021-41773），却忽略同时修补了`mod_proxy`的请求走私漏洞。实际攻击中，这两个漏洞经常打组合拳——先走私请求绕过认证，再穿越路径读文件。只打单补丁的服务器，跟裸奔没区别。

还有个反直觉的点：Apache漏洞往往和PHP-FPM、Tomcat联动。比如`CVE-2019-0211`，提权漏洞出在Apache自身，但利用链必须通过`mod_prefork`的子进程池才能稳定执行。这意味着，纯静态站点几乎不受影响，而跑着WordPress或Laravel的服务器，中招概率翻倍。

从防御角度看，别迷信WAF规则。Apache漏洞的利用流量经常是畸形的，比如超长URL、异常编码头。WAF默认放行`GET /index.php`，但攻击者会构造`GET /inde%78.php`——Apache解码后能正常访问，WAF却一脸懵。真正有效的做法是：禁用不需要的模块、把`AllowOverride`设为`None`、每季度跟踪Apache官网的CHANGES文件。

最后说个个人观察。国内很多运维喜欢用“宝塔面板”一键部署Apache，这确实方便，但面板生成的配置为了兼容性，往往把`Options`设为`FollowSymLinks`，还把`ServerTokens`改成`Prod`隐藏版本号。隐藏版本号只能防扫描器，遇到手工探测的，一个`OPTIONS *`请求就能暴露真实版本。安全不该靠“藏”，而是靠“断”——断开不该有的路径解析，断开模块间的非必要交互。

Apache漏洞不会消失，因为它的模块生态太庞大了。但多数被攻破的案例，都栽在几个重复性错误上。别再盯着CVE编号刷补丁了，先检查你的`httpd.conf`里躺着多少条注释掉的危险配置——那才是真正的漏洞温床。