目录未授权如何防护

wen 开源项目 2026-06-30 32

本文目录导读：

目录未授权如何防护

配置Web服务器，禁用目录列表
应用层代码防御（双重保险）
架构与运维层面的高级防护
优先级清单

针对“目录未授权访问”漏洞（也称为目录浏览漏洞或目录遍历漏洞），防护的核心原则是：禁止Web服务器列出目录内容，并严格控制对文件系统的访问权限。

以下是从Web服务器配置、应用层代码、架构层三个维度的具体防护措施：

配置Web服务器，禁用目录列表

这是最根本、最有效的防护方法，根据你使用的服务器软件进行配置：

A. Nginx

在 server 或 location 段中，确保 autoindex 指令为 off（默认就是关闭的，但建议显式设置）：

location / {
    autoindex off;
    # 其他配置...
}

如果想彻底禁止访问某个目录（.git 或配置文件目录），可以返回403或404：

location ~* ^/(\.git|config|backups)/ {
    deny all;
    return 404; # 或者 403，用404更隐蔽
}

B. Apache

在全局配置文件 httpd.conf 或 .htaccess 文件中，对于特定目录禁用 Options +Indexes：

<Directory /var/www/html>
    Options -Indexes  # 关键：减号表示移除Indexes选项
    # 或者写成 Options None
</Directory>

使用 AccessFileName .htaccess 时，可以在 .htaccess 中输入：

Options -Indexes

C. IIS (Internet Information Services)

打开IIS管理器,选择站点或目录。
双击“目录浏览”功能。
在右侧操作窗格中,点击“禁用”。

D. Tomcat

编辑 conf/web.xml 文件，配置 default servlet，设置 listings 参数为 false：

<servlet>
    <servlet-name>default</servlet-name>
    <servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class>
    <init-param>
        <param-name>listings</param-name>
        <param-value>false</param-value> <!-- 关键行 -->
    </init-param>
</servlet>

应用层代码防御（双重保险）

如果Web服务器配置失效（例如使用了反向代理或自定义路由），代码层面也需要防护。

A. 禁用列目录功能

对于静态文件目录（如上传文件夹、临时文件夹），不要在代码中提供列表接口。
对于动态页面,使用 Directory.GetFiles()、glob()、os.listdir() 等函数时，应仅获取特定文件名，不要输出目录结构。

B. 防御路径穿越（Path Traversal）

目录未授权常伴随路径穿越攻击（如 ../../etc/passwd），防护方法：

输入验证：
- 过滤黑名单字符：、、、%2e%2e%2f、..%252f（二次解码攻击）。
- 使用白名单：限定只能访问特定文件夹内的文件。
- 禁止包含绝对路径（以或 C:\ 开头）的请求。
路径规范化（Canonicalization）：
- 获取用户请求的文件路径后,在服务器端解析出绝对路径。
- 检查该绝对路径是否以允许的目录路径开头。

示例逻辑（伪代码）：

user_path = "uploads/../../etc/passwd"
base_dir = "/var/www/uploads/"
full_path = base_dir + sanitize_path(user_path)  # 规范化
if not full_path.startsWith(base_dir):
    return 403 Forbidden
else:
    read_file(full_path)