若网站发现目录启用了自动目录列表功能及解决方法

近期用360网站安全扫描发现目录启用了自动目录列表功能

什么是目录启用了自动目录列表功能?(齐虎博客www.qihuw.cn

描述:目标启用了自动目录列表功能。

1.当用户访问的网址是某个目录地址的时候,服务器自动显示该目录所包含的文件列表内容。

2. 当用户请求的URL地址是某个目录地址的时候,如果该目录开启了自动列表功能并且WEB服务

器默认的页面文件(如index.html/home.html/default.htm/default.asp/default.aspx

/index.php等)也不存在,那么该目录所包含的文件就会被自动的以列表的形式显示出来,这样

可能就会导致敏感文件被泄露。

危害:1.任何人都可以浏览该目录下的所有文件列表。

2. 如果该目录不存在默认的主页面文件,并且该目录包含了敏感的文件内容(如应用程序源码文

件或其它的重要文件内容),那么将导致敏感文件内容外泄,从而对企业造成直接的经济损失或

为恶意攻击者提供进一步攻击的有效信息。

齐虎博客以下解决方案:
1、如果必须开启该目录的目录列表功能,则应对该目录下的文件进行详细检查,确保不包含敏感文件。
2、如非必要,请重新配置WEB服务器,禁止该目录的自动目录列表功能。
 
附:1. Apache禁止列目录:
方法一,修改httpd.conf配置文件,查找 Options Indexes FollowSymLinks,修改为 Options -Indexes;
方法二,在www 目录下的修改.htaccess配置文件,加入 Options -Indexes。  (推荐)
2. Tomcat 禁止列目录:
在Tomcat的conf/web.xml文件里把listings值改为false。
PS:修改完httpd.conf后,一定记得重启web服务,才能生效噢!
1.      IIS禁止列目录
方法一,在网站目录上右键点“属性”然后找到“主目录”,将“目录浏览”前的勾去掉即可,如下图

 

方法二,若要启用或禁用目录浏览,请使用下面的语法:
appcmd set config /section:directoryBrowse/enabled:true|false
默认情况下,enabled 属性设置为 true,这表示目录浏览已启用。将 enabled 属性设置为 false 时,就会禁用目录浏览。
例如,若要禁用目录浏览,请在命令提示符处键入如下命令,然后按 Enter:
appcmdset config /section:directoryBrowse /enabled:false

 

本博客所有文章如无特别注明均为原创。作者:残忆复制或转载请以超链接形式注明转自 齐虎博客
原文地址《若网站发现目录启用了自动目录列表功能及解决方法
分享到:更多

相关推荐

发表评论

路人甲 表情
看不清楚?点图切换 Ctrl+Enter快速提交

网友评论(0)