9

Por padrão o Apache nega o acesso aos arquivos cujo o nome comecem com .ht, como por exemplo .htaccess:

<Files ~ "^\.ht">
    Require all denied
</Files>

Mas noto que muitos arquivos usam o prefixo ., como o .gitignore. Creio que este arquivo não faça mal algum, ainda sim penso que o uso do ponto no prefixo seja "fortemente" direcionado a arquivos de configurações. Penso que talvez seja interessante negar acesso a estes arquivos em geral fazendo algo como:

RewriteEngine On

# Checa se o arquivo existe
RewriteCond %{REQUEST_FILENAME} -d
RewriteCond %{REQUEST_FILENAME} -f

# Emite status HTTP 403
RewriteRule ^(\.|/\.) - [F,L]

No IIS talvez seja algo como:

<rule name="Redirect to routes" stopProcessing="true">
    <conditions>
        <add input="{REQUEST_FILENAME}" matchType="IsDirectory" negate="true" />
        <add input="{REQUEST_FILENAME}" matchType="IsFile" negate="true" />
    </conditions>
    <match url="^(\.|/\.)" ignoreCase="false" />
    <action type="AbortRequest" />
</rule>

Adicione a checagem de arquivo porque se o arquivo não existir ele deve emitir 404 e não 403.

Isto seria um "bom uso", ou talvez o . como prefixo tenha outros usos além de arquivos de configurações?

Se este for o caso então trocaria por um "grupo" de tipos de arquivos:

(^|/)\.(git|gitignore|yml|svn)$
13
  • 1
    Em sistemas de arquivo Unix, arquivos que começam por . são considerados "ocultos", e não aparecem quando se listam os arquivos de um diretório usando ls (é preciso dizer ls -a para vê-los). Por isso é comum que arquivos de configuração comecem por ponto, mas não necessariamente todos os arquivos começando por ponto o são por ser de configuração. É claro, tudo isto é ortogonal à questão de se eles devem ser ocultados ou não pelo Apache/IIS; esta é uma decisão "de negócio" para você, e não há argumentos técnicos a favor nem contra.
    – Wtrmute
    Commented 3/05/2017 às 16:05
  • Uma dúvida no htaccess, não há a necessidade de escapar o ponto e a barra ? RewriteRule ^(\.|/\.) - [F,L]
    – MagicHat
    Commented 3/05/2017 às 16:46
  • @MagicHat a barra é um escape para o o ponto, no caso o ponto sem a barra invertida seria como dizer "match qualquer coisa, incluindo múltiplas linhas", o \. é como dizer apenas ponto, pois isto é RegEx. Nota: a barra normal / não tem nada haver com o escape, ele é usado para checar se o PATH esta dentro de uma "pasta", tipo: se achar um arquivo no root ^\. como: .git, se achar um arquivo dentro de uma pasta foo/bar/.git
    – Syzoth
    Commented 3/05/2017 às 16:55
  • 1
    Assim, se você realmente não quer nem que o cara saiba que você tem esses arquivos, lança um 404 mesmo. É assim quero gitlab faz com projetos privados: quem é de fora nem enxerga a possibilidade desses projetos existirem. Isso dá uma camada a mais de segurança, ainda mais se for algo com informações confidenciais, como pode ser o caso dos arquivos internos do diretório .git Commented 30/05/2017 às 22:55
  • 1
    @JeffersonQuesado é justamente esta a minha duvida, eu estava pensando em fazer eles puramente invisiveis, ou seja se criar uma rota no servidor tipo no wikipedia pt.wikipedia.org/wiki/.htaccess o usuário de um framework web de rotas poderia criar algo como o wikipedia fez, página customizadas :) Obrigado!
    – Syzoth
    Commented 30/05/2017 às 22:59

2 Respostas 2

4
+50

Para o caso de servidor de arquivos, é mais confiável bloquear acesso direto aos arquivos/diretórios que começam com o prefixo ., por normalmente conter informações de configuração que podem ser confidenciais, é melhor bloquear por padrão e liberar por whitelist. Achei esse artigo que trata amplamente sobre suas dúvidas. Excerto desse artigo:

Disabling hidden files both on the request side and the file serving side should protect you from leaking hidden files, barring other application security holes.

Em tradução livre:

Desativar arquivos ocultos, tanto no lado da requisição quanto no lado do serviço de arquivos, deve protegê-lo de vazamento de arquivos ocultos, bloqueando outros furos de segurança no aplicativo.

Claro, isso depende muito de como é organizado o seu projeto e o seu deploy; se você fizer um deploy de extração de zip, e no zip garantir que não terá os arquivos com informações confidenciais (por exemplo, usando um make package.zip que vai compactar todos os seus scripts num zip).

Para questão de links que tem como sufixo o . mas que não redirecionam para arquivos (como você mesmo comentou), não tem nenhuma restrição. Por exemplo, a Wikimedia é toda escrita em PHP, muitas vezes com deploy para rodar no Apache Server e intercepta a URL e interpretar o que precisa ser enviado, não servindo o arquivo diretamente (com exceção de arquivos uploaded).

2
  • 1
    A resposta esta quase lá, mas entre bloquear e ocultar e a questão de ocultar apenas alguns ou ocultar todos?
    – Syzoth
    Commented 1/06/2017 às 17:22
  • @GuilhermeNascimento tentei falar sobre ocultar todos na parte de whitelist, sendo que o padrão seria bloquear. A ideia nessa resposta é mais algo para um bootstrap para uma resposta mais completa Commented 1/06/2017 às 17:27
0

Esta é a solução que tenho usado caso contrario seriam direccionados todos os ficheiros com extensão á direita do . E assim todos os ficheiros começados por .giti são direccionados para outro lado.

<Files ~ "^\.(htaccess|htpasswd)$">
deny from all
</Files>
ErrorDocument 404 /pt/404.php
RewriteEngine on
RewriteCond %{SERVER_PORT} 80 
RewriteRule ^(.*) https://www.exemplo.com/$1 [R=301,L]
DirectoryIndex index.php       
Redirect permanent /^(.giti*) /index.php
order deny,allow
1
  • Obrigado pela tentativa, mas não estou procurando "soluções" de bloquear, negar, etc, isto tudo eu sei fazer, a questão não tem nada haver diretamente com .htaccess, o problema da pergunta é "recomendação", algo tipo RFC (ietf.org/rfc), como eu disse quando adicionei a recomenpensa "Por favor evitem respostas muito opinativas."
    – Syzoth
    Commented 3/06/2017 às 20:55

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .