心 空

  • Tools
Ricky Hao
  1. 首页
  2. CTF
  3. 正文

Nginx 路径匹配问题

28 11 月, 2016 3595点热度 2人点赞 0条评论

location匹配命令

~      #波浪线表示执行一个正则匹配,区分大小写
~*    #表示执行一个正则匹配,不区分大小写
^~    #^~表示普通字符匹配,如果该选项匹配,只匹配该选项,不匹配别的选项,一般用来匹配目录
=      #进行普通字符精确匹配
@     #"@" 定义一个命名的 location,使用在内部定向时,例如 error_page, try_files

location 匹配的优先级(与location在配置文件中的顺序无关)

= 精确匹配会第一个被处理。如果发现精确匹配,nginx停止搜索其他匹配。
普通字符匹配,正则表达式规则和长的块规则将被优先和查询匹配,也就是说如果该项匹配还需去看有没有正则表达式匹配和更长的匹配。
^~ 则只匹配该规则,nginx停止搜索其他匹配,否则nginx会继续处理其他location指令。
最后匹配理带有"~"和"~*"的指令,如果找到相应的匹配,则nginx停止搜索其他匹配;当没有正则表达式或者没有正则表达式被匹配的情况下,那么匹配程度最高的逐字匹配指令会被使用。

location 匹配问题

当你使用alias来设置目录的时候,会出现一个问题:

location /static {
alias /var/www/static/;
autoindex on;
}

在这种情况下,若是访问http://hostname/static../就会返回/static/目录的上层目录,导致安全问题。
原因是使用普通匹配的时候,首先匹配到/static,然后剩下的字符被拼接在alias的路径之后。
要解决这个问题可以使用正则:

location ~ \/static 

或者

location /static/

即可。

参考:
Nginx location匹配规则

本作品采用 知识共享署名-非商业性使用-相同方式共享 4.0 国际许可协议 进行许可
标签: ctf nginx web
最后更新:28 11 月, 2016

Ricky

这个人很懒,什么都没留下

点赞
< 上一篇
下一篇 >

文章评论

razz evil exclaim smile redface biggrin eek confused idea lol mad twisted rolleyes wink cool arrow neutral cry mrgreen drooling persevering
取消回复

这个站点使用 Akismet 来减少垃圾评论。了解你的评论数据如何被处理。

COPYRIGHT © 2025 心 空. ALL RIGHTS RESERVED.

Theme Kratos Made By Seaton Jiang