敏感目录漏洞

去年冬天，敏感目录我帮一个做电商的漏洞朋友看服务器日志。凌晨三点，敏感目录屏幕上跳出一串请求：/admin/backup.zip、漏洞/.git/config、敏感目录/phpinfo.php。漏洞全是敏感目录 404。但紧接着，漏洞一个 200 出现了——/backup/2023.sql。敏感目录数据库整库备份，漏洞就那么躺在网站根目录下，敏感目录谁都能下载。漏洞朋友当时脸就白了。敏感目录

这就是漏洞敏感目录漏洞最典型的样子。不是敏感目录代码写错了，也不是防火墙没开，纯粹是有人把不该放的东西放错了地方。攻击者根本不需要什么高深技术，写个脚本遍历几百个常见路径，总能撞上几个。成本低到离谱，收益却可能是一整家公司的命。

我后来自己搭了个蜜罐，专门记录这类扫描。一周时间，/.env 被请求了 1.2 万次，/wp-config.php.bak 被请求了 8000 多次，/config/database.yml 也有 3000 多次。这些路径不是随便猜的，全是从开源项目、框架默认配置、运维习惯里提炼出来的。说白了，攻击者比你更清楚你的项目可能长什么样。

很多人以为只有小网站才会犯这种错。不是。我见过一个日活几十万的 SaaS 平台，/api/v1/internal/debug 这个接口没做鉴权，返回了所有租户的数据库连接串。原因很简单：开发阶段为了方便调试，上线时忘了删。一个配置文件，一个注释掉的 if 判断，就能把整个系统暴露出去。

更麻烦的是，敏感目录漏洞往往不是孤立的。它像一把钥匙，后面连着数据库、缓存、对象存储、甚至内网其他机器。你下载到一个 .sql 文件，里面可能有用户手机号、密码哈希、订单记录。你访问到 /.git/，整个代码仓库的历史提交都能还原出来，包括那些已经删掉的密钥。一次疏忽，连锁反应。

那怎么防？我自己的做法很土，但管用。第一，上线前用 dirsearch 或者 gobuster 扫一遍自己的域名，看看有没有意外暴露的路径。第二，把 .git、.svn、.env、*.bak、*.sql 这些后缀在 Nginx 层直接 deny 掉，别指望每个开发都记得删。第三，备份文件永远不要放在 Web 根目录下，哪怕改个复杂名字也不行——目录扫描工具连 backup_20231201_final_v2.zip 这种名字都能猜出来。第四，日志里如果出现大量 404 扫描，别只当噪音，那是在试探，该封 IP 就封。

有个细节挺有意思。我翻过一些被入侵的案例，发现攻击者最常得手的路径不是 /admin 这种明面上的，而是 /static/../config.json 这种路径穿越。或者 /uploads/ 目录下直接能列文件。你以为静态资源目录安全，其实里面混着用户上传的敏感文件，连文件名都没改。

说到底，敏感目录漏洞不是技术问题，是习惯问题。开发图省事，运维图方便，安全测试图快，最后就留下一个谁都能踩的坑。我见过最离谱的一个站，/robots.txt 里明明白白写着 Disallow: /secret-admin-panel/。你猜怎么着？那个目录真能访问，而且没登录框。

别笑。你打开自己的网站，试试 /backup、/.git/HEAD、/server-status。说不定就有惊喜。

很赞哦!（961）