网络应用程序安全指南/特殊文件
像 .htaccess、robots.txt、crossdomain.xml 和 clientaccesspolicy.xml 这样的特殊文件具有特殊含义，在部署此类文件之前必须考虑这些含义。
防止此类攻击
- 了解这些文件的含义
- 确保 robots.txt 不泄露“秘密”路径
- 确保 crossdomain.xml 和 clientaccesspolicy.xml 除非必要，否则不存在
- 如果使用，请确保 crossdomain.xml 和 clientaccesspolicy.xml 仅允许来自受信任域的访问
- 阻止用户上传/更改特殊文件（参见 文件上传漏洞部分）
基本原理
像 .htaccess、robots.txt、crossdomain.xml 和 clientaccesspolicy.xml 这样的特殊文件定义了安全相关的设置和规则。了解其含义对于安全使用它们是必要的。
.htaccess 影响 Web 服务器的行为和安全相关设置（例如访问权限、可执行文件类型等）。
robots.txt 可能会被恶意或编写不良的机器人忽略。由于此文件是公开可用的，因此攻击者如果在 robots.txt 文件中提到，可以获得有关“有趣”路径（例如管理界面）的宝贵信息。攻击者确实会检查此文件以查找此类内容。
crossdomain.xml 和 clientaccesspolicy.xml 可以禁用某些插件中的同源策略。配置不正确会导致网站通过插件暴露于跨站点脚本/跨站点请求伪造攻击。请注意，crossdomain.xml 文件在出现在子目录中时也是有效的。