若 Apache Web 服务器配置为启用了 mod_negotiation 和 Multiviews，在收到构建的带有无扩展文件名的无效请求时，可能会返回与已知 MIME 类型匹配的资源的伪目录列表。攻击者可能会滥用此功能，无需采用暴力破解方法就能发现服务器上的隐藏资源。扫描程序在使用此技术的服务器上检测到文件。

在目标上检测到 Humans.txt 文件。

Humans.txt 文件包含关于参与构建网站的不同人员的信息。

在目标上未检测到 Security.txt 文件。

当独立安全研究人员发现 Web 服务中存在安全风险时，此文件定义了披露这些风险的正确渠道，并允许第三方研究人员以组织确定的方式安全地披露问题。

组织应考虑以符合规范的格式创建包含联系人和其他信息的 security.txt 文件，并将其放在服务器的 .well-known 目录下。

在目标上检测到 Security.txt 文件。

当独立安全研究人员发现 Web 服务中存在安全风险时，此文件定义了披露这些风险的正确渠道。

因此，第三方研究人员可以以组织确定的方式，安全地披露安全问题。

远程主机包含名为“robots.txt”的文件，该文件用于防止网络“机器人”出于维护或索引目的来访问网站中的某些目录。恶意用户也可能使用该文件的内容来了解受影响站点上的敏感文档或目录，并直接检索它们或针对它们发动其他攻击。

站点地图协议可让您向搜索引擎提供有关网站上可用于抓取的 URL 的信息。简单来说，站点地图是一个列出站点 URL 的 XML 文件。

据发现，许多站点所有者不是通过抓取的方式来构建站点地图，而是通过在其 Web 根目录结构上运行脚本来完成这一任务。如果出现这种情况，攻击者可能可以使用站点地图来枚举 Web 服务器根中的所有文件和目录。

Apache 服务器未正确限制对 .htaccess 和/或 .htpasswd 文件的访问。未经身份验证的远程攻击者可下载这些文件，并可能发现重要信息。

支持目录列表的 Web 服务器通常用于共享文件。

目录列表可让客户端查看托管在 Web 服务器上的所有文件和文件夹的简单列表。然后，客户端便能够遍历每个目录并下载文件。

网络犯罪分子会利用目录列表来发现敏感文件、下载受保护的内容，甚至只是了解 Web 应用程序的结构。

扫描程序发现受影响的页面支持目录列表。

将文件（或多个文件）上传到 Web 服务器的方法有很多种。其中一种可以采用的方法是使用 HTTP 的“PUT”方法。“PUT”方法主要在应用程序开发过程中使用，该方法可让开发人员在 Web 根目录下的服务器上上传（或放置）文件。

根据其设计特性，“PUT”方法通常不提供任何筛选机制，因此开发人员可将服务器端可执行代码（PHP、ASP 等）上传到服务器上。

网络犯罪分子会寻找支持“PUT”方法的服务器，其目的是修改现有页面或上传 Web Shell，以控制服务器。

扫描程序已发现受影响的路径允许客户端使用“PUT”方法。在此测试期间，扫描程序已使用“PUT”方法将文件上传到服务器的 Web 根目录中，并成功对该文件所在位置执行了“GET”请求并验证了内容。

扫描程序通过利用与网络犯罪分子相同的方法，能够确定远程 Web 服务器上可能存在的 Web 后门程序或 Web Shell。如果服务器之前受到过破坏，则网络犯罪分子很可能已安装后门程序，以便他们可以在需要时轻松返回该服务器。实现此目的的一种手段是在 Web 服务器的 Web 根目录下放置 Web 后门程序或 Web Shell。这样一来，网络犯罪分子便能够通过 HTTP/S 会话访问服务器。还有可能是管理员为了能远程执行管理活动而在服务器上放置了 Web 后门程序或 Web Shell，但这是极为糟糕的做法。在攻击的初始侦查阶段，网络犯罪分子会尝试通过请求最常见的和知名的 Web 后门程序或 Shell 的名称，来尝试进行定位。通过分析响应，攻击者能够确定是否存在 Web 后门程序或 Web Shell。然后，这些 Web 后门程序或 Web Shell 可为进一步破坏服务器提供容易的路径。

在 Web 服务器上可以使用多种 HTTP 方法（例如“OPTIONS”、“HEAD”、“GET”、“POST”、“PUT”、“DELETE”等）。每种方法都执行不同的功能，若这些方法在 Web 服务器上允许使用，各自都伴随着一定的风险水平。

Apache 的“.htaccess”文件中的“<Limit>”指令允许管理员定义他们想要阻止的 HTTP 方法。但是，由于这是一种黑名单方式，不可避免的是服务器管理员可能会意外地漏掉要阻止的某些 HTTP 方法，从而增加了应用程序和/或服务器的风险级别。

扫描程序检测到一个或多个 HTML 对象标签。此标签用于在 HTML 页面中嵌入音频、视频、Java 小程序、ActiveX、PDF 和 Flash 等多媒体。

Web 分布式创作和版本控制 (WebDAV) 是一种机制，能够实现对 Web 服务器进行基本文件管理操作（读取和写入）。该功能本质上使得客户端能够像挂载传统文件系统那样挂载 Web 服务器，从而可让用户通过非常简单的方式对其进行访问，就像访问任何其他媒体或网络共享一样。

一经发现，攻击者将尝试从启用了 WebDAV 的目录中获取信息，甚至上传可用来破坏服务器的恶意文件。

扫描程序发现受影响的页面允许 WebDAV 访问。之所以发现此问题，是因为服务器支持 WebDAV 特有的多种具体方法（如 PROPFIND、PROPPATCH 等），但针对 WebDAV 组件应专门进一步进行测试，因为扫描程序支持对该特性的检测。

扫描程序检测到远程 Web 服务器上存在常见目录。

Web 应用程序通常由多个文件和目录组成。随着时间的推移，有些目录可能会不再被 Web 应用程序引用（即不再使用），而管理员或开发者也可能忘记它们的存在。因为 Web 应用程序是使用常见框架而构建的，所以其中包含独立于服务器且可被检测到的常见目录。

在攻击的初始侦查阶段，网络犯罪分子将尝试查找未被引用的目录，希望借此找到有助于进一步破坏 Web 应用程序的途径。为实现此目的，他们会使用包含常见名称的词汇表发起数千次请求。然后，服务器的响应标头将表明该目录是否存在。

扫描程序检测到远程 Web 服务器上存在常见的敏感文件。

Web 应用程序通常由多个文件和目录组成。随着时间的推移，有些文件可能会不再被 Web 应用程序引用（即不再使用），而管理员或开发者也可能忘记它们的存在。因为 Web 应用程序是使用常见框架而构建的，所以其中包含独立于服务器且可被检测到的常见文件。

在攻击的初始侦查阶段，网络犯罪分子将尝试查找未被引用的文件，希望借此找到有助于进一步破坏 Web 应用程序的途径。为实现此目的，他们会使用包含常见文件名称的词汇表发起数千次请求。然后，服务器的响应标头将表明该文件是否存在。

HTTP TRACE 方法可让客户端向服务器发送请求，并让服务器在响应中传回相同的请求。客户端可借此确定服务器是否在按预期接收请求。此方法通常用于调试目的（例如，验证请求是否未经改动地到达服务器端）。

在许多默认安装中，TRACE 方法仍处于启用状态。

虽然其本身不易受到攻击，但它确实为网络攻击者提供了绕过 HTTPOnly Cookie 标记的方法，因此可能导致 XSS 攻击成功获取会话标记。

扫描程序已发现受影响的页面允许使用 HTTP TRACE 方法。

ID	名称	严重性
113165	Apache mod_negotiation 备用文件名泄露	medium
113041	检测到 Humans.txt 文件	info
112723	未检测到 Security.txt 文件	info
112722	检测到 Security.txt 文件	info
98705	检测到 Robots.txt 文件	info
98681	检测到 Sitemap.xml 文件	info
98630	Apache .htaccess 和 .htpasswd 泄露	medium
98084	目录列表	medium
98099	公开可写目录	high
98097	后门程序检测	critical
98095	.htaccess 文件的 LIMIT 指令中存在配置错误	medium
98092	HTML 对象	info
98087	WebDAV	info
98072	常见目录检测	info
98071	常见文件检测	info
98048	HTTP TRACE 受允许	low

检测

Web App Scanning 的 Web Servers 系列

medium

info

info

info

info

info

medium

medium

high

critical

medium

info

info

info

info

low