网站目录遍历

网站目录遍历，网站说穿了就是目录攻击者直接敲URL，把服务器上不该看的遍历文件夹挨个翻个底朝天。这事儿听着低级，网站但真遇上了，目录比花里胡哨的遍历SQL注入还让人头疼。

我见过最典型的网站案例，是目录一家做跨境电商的小公司。他们的遍历技术负责人把后台备份文件放在`/backup/`目录下，文件名就叫`2023_full_backup.zip`。网站结果呢？目录扫描器一跑，三秒钟就发现了。遍历那zip包解开来，网站数据库密码、目录支付网关密钥、遍历客户身份证号，全躺在里面。更讽刺的是，他们服务器上明明装了防火墙，可防火墙规则压根没拦目录访问——因为默认策略是“允许所有GET请求”。

为什么会发生这种事？根子上是开发者的惰性。多数框架自带的路由已经能处理静态资源，可总有人图省事，直接开个`/uploads/`或者`/files/`，然后往里扔东西。你以为没人知道路径？错了。搜索引擎的爬虫、GitHub上的历史提交、甚至JS文件里的注释，都能把路径泄露出去。我随手翻过几个知名网站的源码，`/admin/`、`/api/v1/`这种路径，直接在控制台里就能猜出来。

防御手段其实不复杂。Nginx里加一行`deny all`，Apache里配个`Options -Indexes`，就能挡住大半的列目录攻击。可问题在于，很多人压根没意识到自己的服务器默认开着目录浏览。你访问`/images/`，如果看到一排排文件名，那恭喜，你已经中招了。这些文件里可能藏着`.env`、`.git`目录，甚至`.htaccess`备份——都是能直接拖垮站点的东西。

还有个隐蔽的坑：云存储桶。现在不少人把静态文件扔到S3或者OSS上，但权限配置一错，整个桶就变成公开的。有个做在线教育的客户，把课程视频放在阿里云OSS上，结果因为bucket策略写了个`*`，任何人只要拼出URL，就能下载付费课程。更离谱的是，他们还在文件名里带上了用户ID，简直是给数据爬虫递刀子。

真要防死目录遍历，得从两个层面下手。技术层，把所有静态资源丢到CDN，源站只保留动态接口；同时给所有目录加上随机token的访问路径，比如`/static/a3f9x2/`，就算扫描器遍历也猜不到。管理层，定期检查服务器日志，看有没有连续404或者HEAD请求——那是扫描器的典型特征。别嫌麻烦，安全这件事，九成靠习惯，一成靠运气。

最后说句掏心窝的：别把希望寄托在“没人会闲得翻你目录”上。互联网上每分钟都有几千个扫描器在跑，你服务器上的每一个目录，都可能被当成彩票刮。与其事后补漏洞，不如一开始就把目录锁死——这比任何高级防护都便宜，也管用。