PHP-Dateien in Unterverzeichnisse umschreiben

Question

Ich habe den folgenden Code in meiner .htaccess-Datei, um Anfragen an PHP-Dateien zu blockieren und die 404.php-Datei anzuzeigen.

RewriteCond %{REQUEST_URI} !(index|backup).php 
RewriteCond %{REQUEST_URI} !^\/(dir1|dir1)\/ 
RewriteCond %{REQUEST_URI} !404.php 
RewriteCond %{REQUEST_URI} .*\.php 
RewriteRule .* 404.php [L] 

Dies blockiert Anforderungen an alle PHP-Dateien mit Ausnahme von index.php, backup.php und alle Dateien in dir1 und dir2. Dies funktioniert für Anfragen an der Wurzel:

http://www.example.com/some-file.php 
http://www.example.com/another-file.php 

Aber es funktioniert nicht für Dateien in Unterverzeichnissen:

http://www.example.com/sub/some-file.php 
http://www.example.com/sub/another-file.php 

soll ich sagen, dass das Unterverzeichnis ‚sub‘ nicht wirklich existieren. Die Anfragen kommen von automatisierten Scannern, die nach Löchern in der Site suchen. Ich überschreibe die Anfragen zu 404.php, weil diese Datei die Datenbank oder irgendwelche der Anwendung nicht lädt. Wenn ich das nicht mache, wird stattdessen die vollständige Anwendung 404 geladen, was MySQL immer wieder zum Absturz bringt, wenn ich 100 dieser Anfragen pro Minute bekomme (mehrmals am Tag).

Meine Frage ist dann, wie kann ich den Code ändern, um für Unterverzeichnisse zu arbeiten? Ich dachte, dass die REQUEST_URI das vollständige Unterverzeichnis enthielt, damit der Code so funktionieren sollte wie er ist?

Answer 1

Sie könnten eine separate RewriteRule haben, die nur Zugang zu sub bestreitet, stellen diese vor Ihrer anderen Regeln und es wird nur 403 die Anforderung und Stoppverarbeitung:

RewriteCond %{REQUEST_URI} ^/(sub.*|othersub.*)$ 
RewriteRule .* - [F] 

Ich würde so eine separate Liste halten leugnen, weil Leute, die nach Exploits fischen, in die 403-Kategorie fallen, während ein echter Fehler bei der Suche nach einer potenziell gültigen URL eher ein 404 ist.