目录枚举

目录枚举这事儿，目录枚举我见过最狠的目录枚举一次，是目录枚举在一家银行的渗透测试报告里。对方只用了三分钟，目录枚举就把整个后台的目录枚举目录结构像摊煎饼一样翻了个底朝天——/admin、/backup、目录枚举/uploads、目录枚举/phpmyadmin，目录枚举全裸奔着。目录枚举那家银行的目录枚举技术负责人看到报告时，脸色比防火墙日志还难看。目录枚举

说白了，目录枚举目录枚举就是目录枚举挨个猜网站里藏着哪些路径。工具一把梭，目录枚举字典一跑，目录枚举几万个常见目录名噼里啪啦试一遍。服务器不会说话，但响应码会——200是“在呢”，403是“滚但我知道你在”，404才是真没有。攻击者不需要多聪明，只需要耐心。

可真正让人后背发凉的，不是这些明晃晃的目录，而是那些藏在深处、连命名都透着“别看我”的路径。比如某次测试，我在一个政府网站的robots.txt里看到一行注释：# TODO: remove before launch。顺着这个线索往下挖，找到了一个没做任何访问控制的/internal/目录，里面躺着一份五年前的数据库备份，明文密码整整齐齐排成Excel表格。

你以为开发人员不知道风险？他们太知道了。但项目赶工期、运维嫌麻烦、管理层觉得“没人会闲到猜这种路径”——每个环节都觉得自己只松了那么一丁点儿，合起来就是一道能开卡车的门缝。有个甲方运维跟我抱怨，说他们每次扫描都报一堆高危，但领导批的预算只够买咖啡，不够买WAF。这话听着像玩笑，其实挺心酸。

目录枚举的可怕之处在于它太安静了。不爆破、不注入、不搞什么花哨的0day，就靠字典里那些test、old、bak、temp，硬生生撬开一个口子。我见过有人把备份文件命名为www.zip放在网站根目录下的，也见过把后台路径改成manage2023以为能躲过扫描的——结果字典里早就有manage*的通配规则了。

防御这事儿，说难也难，说简单也简单。把不该公开的目录移出Web根目录，给敏感路径加个随机token，或者干脆用反向代理把静态资源和动态请求分开——这些手段都不需要什么高深技术，但就是有人不做。为什么？因为目录枚举不像SQL注入那样“看起来很严重”，它更像慢性病，平时不疼不痒，等发现的时候往往已经扩散了。

我手机里存着一张截图，是某次攻防演练时，红队成员在群里发的消息：“兄弟们别扫了，人家把后台目录直接写在了前端JS注释里，省点字典吧。”那会儿我正喝着咖啡，差点喷屏幕。你说这算安全意识差，还是算一种极端的“坦诚”？

反正从那以后，我每次看别人家的网站，都会顺手试几个常见路径。不是为了黑谁，纯粹是职业习惯——就像修空调的师傅进屋先看排水管。目录枚举这事儿，永远不是技术问题，而是态度问题。