网站目录扫描

网站目录扫描，网站说白了就是目录拿字典去撞服务器的目录结构。你给服务器发一堆路径请求，扫描看哪些返回200，网站哪些返回403，目录哪些直接报错。扫描这活儿听起来像黑客干的网站事，其实做安全的目录、做运维的扫描、甚至写前端的网站都在用。我见过最离谱的目录一次，是扫描帮朋友排查一个老站，扫出来一个备份文件叫www.zip，网站里面躺着整站源码和数据库连接信息——就那么裸奔在服务器上，目录放了三年。扫描

这工具的原理不复杂，但细节里全是坑。字典质量决定一切，网上那些默认字典扫个普通站还行，遇到自定义路径就抓瞎。我自己就吃过亏，扫一个政府网站，默认字典全跑完啥也没发现，后来手工试了个/admin/login.asp，居然直接进了后台。所以说，扫描器是死的，人是活的，你得根据目标特征自己拼字典。比如看到网站是PHP写的，就多放几个.php.bak、.php~这类编辑器备份后缀；看到用了ThinkPHP，就重点测/runtime/和/application/这些框架默认路径。

响应码的判断也有讲究。很多人只看200，觉得200就是有东西，其实403和500有时候更有价值。403说明路径存在但禁止访问，这往往是敏感目录——管理员可能设了权限，但忘了删文件。500错误更妙，说明服务器尝试处理了这个请求，只是内部出错，这时候你换个参数再试，说不定就绕过去了。我见过一个站，/backup/返回403，但直接在后面拼上/backup/old.sql，反而能下载——权限配的是目录级别，不是文件级别。

还有个容易被忽略的点：扫描频率。别拿工具默认的并发数往上怼，尤其是对老旧的IIS或Apache服务器。有一次我扫一个中小企业的站，线程调到20，跑了不到两分钟，服务器直接宕机了。对方运维打电话过来问是不是被攻击了，我只好赔着笑脸说是误操作。后来学乖了，线程控制在5以内，延迟设个几百毫秒，慢是慢点，但至少不会把目标打死。真遇到WAF或CDN，你还得改User-Agent、加随机参数，不然扫到一半就被拦截了。

扫描结果出来以后，真正的活儿才开始。一堆URL摆在那，你得靠经验分辨哪些是鸡肋，哪些是突破口。比如/js/目录下出现api.js，别急着忽略，打开看看里面可能有接口地址和密钥；/images/里躺着一个test.php，那十有八九是有人传了webshell上去。我通常会把结果按目录深度排序，优先看那些路径特别长或者命名随机的文件——那往往是开发者随手放的东西，最容易出问题。

说到底，目录扫描就是个信息收集的笨办法，但笨办法往往最有效。它不需要什么高深技巧，考验的是你对HTTP协议的理解、对常见框架的熟悉程度，以及一点点的耐心和运气。你永远不知道下一个200响应背后藏着什么——可能是张无关紧要的图片，也可能是整个服务器的root权限。这种不确定性，大概就是这活儿让人上瘾的原因吧。