目录漏洞

去年十月，目录漏洞一个做安全审计的目录漏洞朋友给我看了份报告。某省级政务平台的目录漏洞文件目录里，赫然躺着一份名为“2023年第三季度待销毁”的目录漏洞文件夹。点进去，目录漏洞全是目录漏洞盖了公章的红头文件扫描件，甚至还有几份标注“内部参阅”的目录漏洞人事调动表。他说，目录漏洞这不算最离谱的目录漏洞，有些单位的目录漏洞服务器目录就像没关门的仓库，你顺着URL一层层往下翻，目录漏洞能翻出整个单位的目录漏洞组织架构、人员名单、目录漏洞甚至食堂采购清单。目录漏洞

这事儿的目录漏洞荒诞之处在于，它压根算不上什么高级黑客攻击。没有漏洞利用，没有提权，没有绕过WAF。就是单纯的——目录没关。服务器把文件列表赤裸裸地暴露在公网上，像一本摊开的书，谁路过都能翻两页。

我后来自己试了试，用最简单的路径猜测，在一些网站后面加上`/backup/`、`/files/`、`/upload/`，居然真能撞见不少东西。有家教育机构的`/upload/`目录下，整整齐齐码着上万份学生简历，从身份证号到家庭住址一应俱全。还有个地方政府的`/backup/`里，躺着三年前的数据库备份文件，.sql后缀，下载下来直接能导入。你说这是技术问题吗？是，但更准确地说，是习惯问题。

开发人员图省事，把文件往服务器上一扔，目录索引开着就开着，反正“没人会注意到”。运维觉得防火墙装了就万事大吉，谁没事去翻目录？可攻击者恰恰就爱干这个。他们不撬锁，只挨个推门，哪扇没关就进哪扇。这种手法在圈内叫“目录遍历”，听起来挺技术，说白了就是挨个试。

更麻烦的是，这类漏洞往往藏在最不起眼的地方。你花大价钱买了WAF，配了入侵检测，结果人家从`/images/`下面翻出一个`config.php.bak`，里面数据库密码写得清清楚楚。你防住了正门，后墙却塌了。我见过一个案例，某电商平台的`/temp/`目录下有个`debug.log`，记录了所有SQL查询语句，包括用户登录时的明文密码比对过程。攻击者拿到这个，连注入都不用写。

那为什么这种低级问题反复出现？我的观察是，它太“小”了。小到在安全评估里经常被忽略，小到开发觉得“这算什么漏洞”，小到修复它只需要在Nginx配置里加一行`autoindex off;`。可就是这一行，很多人不知道，或者知道了也懒得改。安全圈有个说法叫“低垂的果实”，目录漏洞就是那颗快烂在地上的果子，谁都能摘，但很多人假装看不见。

我自己的服务器也犯过这毛病。有次部署完新项目，忘了关目录索引，第二天就在日志里看到有人在扫`/vendor/`和`/node_modules/`。吓得我赶紧补上配置。你看，连天天跟安全打交道的人都会疏忽，何况那些赶工期的普通开发者？

所以别总盯着什么0day、什么高级持续性威胁。真正让数据裸奔的，往往是这些连脚本小子都看不上的小口子。它们不声不响地开着，像忘了关的窗户，风一吹就晃荡。你永远不知道下一个翻进来的是谁，但你知道，那扇窗一直在那儿。