Ein paar Einträge in die apache access.log bereiten mir Kopfzerbrechen

[Claus]

Moin

ich hab mal noch eine Frage zu den directory traversal Attacken

Wenn ich über http-Requests zu Systemdateien kommen will, dann muss ich ausgehend vom Domain-Verzeichnis in der Dateistruktur hochklettern mit ../, ist das korrekt?

das hab ich mal probiert und komme zu dem Ergebnis:

https://example.org/../etc/passwd        404, wird zu https://example.org/etc/passwd
https://example.org/../../etc/passwd     404, wird zu https://example.org/etc/passwd
https://example.org/../../../etc/passwd  404, wird zu https://example.org/etc/passwd

Der Hoster teilt mir mit, dass das der Apache standardmäßig so macht, er hätte da nichts speziell konfiguriert. Und auch bei wikipedia wird dieses Beispiel gebracht.

Wenn 90% der Webserver Apache sind, wieso wird dann in diesem Umfang auf diese Attacke gesetzt?

Gruß Claus