目录列表

medium Web App Scanning 插件 ID 98084

语言：

简介

目录列表

描述

支持目录列表的 Web 服务器通常用于共享文件。

目录列表可让客户端查看托管在 Web 服务器上的所有文件和文件夹的简单列表。然后，客户端便能够遍历每个目录并下载文件。

网络犯罪分子会利用目录列表来发现敏感文件、下载受保护的内容，甚至只是了解 Web 应用程序的结构。

扫描程序发现受影响的页面支持目录列表。

解决方案

除非 Web 服务器被用于共享静态和非敏感文件，否则启用目录列表会被视为不良安全实践
用户通常可以通过在服务器上进行简单的配置更改来完成此操作。禁用目录列表的步骤因使用的服务器类型（IIS、Apache 等）而有所不同。如果目录列表功能是必须的并且被允许使用，则应当采取措施以确保降低此类配置带来的风险。
措施如下：
1. 要求对受影响页面的访问权限进行身份验证。2. 将受影响的路径添加到“robots.txt”文件，以防止搜索引擎索引该目录的内容。3. 确保敏感文件未存储在 Web 或文档根目录中。4. 删除应用程序运行所不需的任何文件。