目录浏览漏洞

目录浏览漏洞，目录说白了就是浏览漏洞服务器没关“门”。你访问一个目录，目录本该看到403或者默认首页，浏览漏洞结果它把里面所有文件都列给你看，目录像打开了一个文件夹管理器。浏览漏洞2023年某大厂内部系统就因为一个nginx配置少写了autoindex off;，目录把整个运维脚本库暴露了，浏览漏洞里面甚至有数据库明文密码。目录这不是浏览漏洞个例，GitHub上随便搜autoindex on，目录能翻出几千个生产环境配置。浏览漏洞

这个漏洞原理比SQL注入简单多了。目录Web服务器处理请求时，浏览漏洞如果URL指向一个目录，目录默认会找index.html、index.php这类文件。找不到怎么办？正常应该返回403，但有些管理员图方便，直接开了目录列表功能。Apache是Options +Indexes，Nginx是autoindex on，IIS是勾选“目录浏览”。就这么一行配置，等于把服务器文件夹当FTP公开了。

我见过最离谱的一次渗透测试，目标是个政府教育网站。打开/upload/目录，好家伙，学生身份证扫描件、成绩单、甚至老师工资表全躺在那里，按月份分好了文件夹。那个站用的还是老掉牙的Apache 2.2，目录列表样式都是上世纪风格，蓝底白字链接。当时我就想，这站管理员是不是觉得没人会猜到这个路径？可/upload这名字，猜都不用猜。

有人觉得这漏洞危害不大——文件能看又不能改。那你低估了信息泄露的连锁反应。目录里经常有备份文件，比如backup.zip、web.rar，下载下来解压就是整套源码。源码里有数据库连接配置，有API密钥，有第三方服务凭证。一条链路下来，从“看目录”变成“拿服务器”，中间隔着的只是一次wget命令。更别提某些系统会把日志也写在web目录下，日志里可能有管理员登录的session ID。

修复办法倒是简单。第一选择是关掉目录浏览，Nginx删掉autoindex on，Apache注释掉Options Indexes，IIS取消目录浏览勾选。如果业务确实需要文件列表，那就加个鉴权，至少放个.htpasswd挡一下。另外，把敏感目录移出web根目录，用alias或者虚拟目录映射出去。最关键的，定期扫描一下公网资产，用脚本批量检测index of /特征，比人肉翻配置省事多了。

说到底，这漏洞就是懒出来的。默认配置明明安全，非要手贱开个功能。开完也不测试，上线也不检查。等被人扫到了，才慌慌张张去改。可这时候，文件早被爬虫存到某个暗网数据库里了。你改完配置，那些泄露的数据还在别人硬盘上躺着呢。所以啊，服务器配置不是自家客厅，想摆什么就摆什么——你开了目录浏览，等于把保险柜门敞着，还贴了张“欢迎参观”的纸条。

很赞哦!（313）