¿Por qué filename.php.jpg funcionará como un archivo PHP?

Question

Duplicar posible:
Is it possible to execute PHP with extension file.php.jpg?

accidentalmente dejó un fileupload a mi sitio, y que fue hackeado (ME ESTÚPIDO). El hacker había subido un archivo index.php.jpg con la herramienta de subida, y simplemente accedió a mi sitio (era un script de shell99) con él, pero no puedo entender por qué funcionará. ¿Alguien lo suficientemente inteligente como para explicar esto?

Answer 1

Apache controla qué extensiones de archivo pueden y no pueden ejecutar PHP. Esto se puede controlar a nivel de servidor o por nivel de sitio (como con .htaccess).

De forma predeterminada, una extensión .jpg debe no permitir la ejecución de PHP. Quizás el nombre del archivo realmente era index.jpg.php y ha leído mal. Sin embargo, en el caso de que el nombre de archivo sea realmenteindex.php.jpg, deberá buscar en todas las ubicaciones posibles y bloquear su configuración para permitir solo extensiones .php para ejecutar PHP.

Answer 2

El nombre de archivo fue forjado, con \ x000 insertado que engañó httpd, o .htaccess se plantó también para forzar PHP para archivos jpg.