404没有被抓到？

Question

我一直在运行一些自动安全扫描，但以下 URL 触发了 404：

/%FF%FE%3Cscript%3Ehaikumsg%28326%29%3C%2Fscript%3E

这是从 Apache 服务器上的域上的路由运行的（因此应该很容易复制）。

我的 htaccess 是用 ErrorDocument 404 /site/404 设置的，但这并没有被捕获。我知道这一点，因为如果我完全清空 htaccess 文件，我仍然会看到相同的标准 apache 404 页面。

显然这是一个标签黑客，所以我必须小心它的处理方式，但是我想知道如何管理它，所以它至少可以完成我的/site/404 而不是什么都没有。

Answer 1

事实证明，解决方案是将您的 404 重定向移动到 Vhosts 而不是 htaccess！非常简单的解决方案，这将解决它。 Apache 显然在访问 htaccess 文件之前就使用了 URL，因此需要在更高级别移动 404 重定向。

但是，如果您需要解码和使用 URL，那么以下内容会有所帮助： https://serverfault.com/questions/261683/how-does-apache-process-a-path-with-a-percent-encoded-url-in-it

基本上解决方案是在Vhosts文件中添加AllowEncodedSlashes On。

根据https://httpd.apache.org/docs/2.0/mod/core.html#allowencodedslashes。