Apache/PHP跨站文件访问疑似配置问题排查求助

核心问题分析 #

• HTTP_HOST伪造风险：用str_starts_with判断请求域名的逻辑存在漏洞，攻击者可构造包含目标域名前缀的请求头，触发生产配置文件的加载尝试。
• Apache虚拟主机配置疏漏：若虚拟主机未严格绑定指定域名，可能导致其他域名的请求被解析到你的开发站点目录，进而执行站点内PHP文件。
• 文件权限与路径问题：虽然db_connect.php在Web根目录外，但如果set_include_path设置的路径权限过松，或生产配置文件（yykprd.php）不存在/权限不足，就会抛出包含失败的错误。

紧急修复步骤 #

1. 加固域名判断逻辑 #

替换不可靠的前缀匹配，改用精确白名单机制：

// 定义允许访问的域名白名单
$allowed_hosts = ['dev.somedomain.org', 'prod.somedomain.org'];
if (!in_array($_SERVER['HTTP_HOST'], $allowed_hosts)) {
    http_response_code(403);
    exit('Invalid request');
}

// 根据合法域名加载对应配置
switch ($_SERVER['HTTP_HOST']) {
    case 'dev.somedomain.org':
        require_once 'yykdev.php';
        break;
    case 'prod.somedomain.org':
        require_once 'yykprd.php';
        break;
}

若必须使用前缀匹配，需添加后缀校验避免被绕过：str_starts_with($_SERVER['HTTP_HOST'], 'dev.somedomain.org') && (strlen($_SERVER['HTTP_HOST']) == strlen('dev.somedomain.org') || $_SERVER['HTTP_HOST'][strlen('dev.somedomain.org')] == '.')

2. 严格配置Apache虚拟主机 #

确保每个站点的虚拟主机仅响应指定域名，未匹配请求直接返回403：

<VirtualHost *:80>
    ServerName dev.somedomain.org
    DocumentRoot /path/to/dev/webroot

    # 拒绝非指定域名的请求
    <If "%{HTTP_HOST} != 'dev.somedomain.org'">
        Redirect 403 /
    </If>

    # 其他常规配置
</VirtualHost>

<VirtualHost *:80>
    ServerName prod.somedomain.org
    DocumentRoot /path/to/prod/webroot

    <If "%{HTTP_HOST} != 'prod.somedomain.org'">
        Redirect 403 /
    </If>

    # 其他常规配置
</VirtualHost>

# 默认虚拟主机，拦截所有未匹配的请求
<VirtualHost *:80>
    ServerName default
    Redirect 403 /
</VirtualHost>

重启Apache生效：systemctl restart apache2（根据服务器系统调整命令）

3. 加固文件权限与include路径 #

• 将db_connect.php、yykdev.php、yykprd.php的权限设置为600，仅所有者可读可写，所属用户设为Apache运行用户（通常为www-data）。
• 限制set_include_path的范围，仅添加配置文件所在目录：

set_include_path('/path/to/config/dir' . PATH_SEPARATOR . get_include_path());

4. 临时用.htaccess拦截非法请求 #

在开发站点的根目录.htaccess中添加规则：

RewriteEngine On
RewriteCond %{HTTP_HOST} !^dev\.somedomain\.org$ [NC]
RewriteRule ^ - [R=403,L]

后续安全建议 #

• 尽快修复VPN故障，停止在生产服务器上直接开发，严格分离开发/测试/生产环境。
• 关闭PHP的display_errors，仅通过日志记录错误，避免泄露敏感信息。
• 定期检查Apache访问日志，排查异常请求来源，必要时通过防火墙封禁恶意IP。

内容的提问来源于stack exchange，提问作者Beeker