目錄清單

medium Web App Scanning Plugin ID 98084

語系：

概要

目錄清單

說明

允許目錄清單的 Web 伺服器通常用於共用檔案。

目錄清單可讓用戶端檢視 Web 伺服器上主控的所有檔案和資料夾的簡單清單。然後，用戶端就可以遊走每個目錄並下載檔案。

網路不法份子會利用目錄清單的存在來探索敏感檔案、下載受保護的內容，甚至只是瞭解 Web 應用程式的結構。

掃描程式發現受影響的頁面允許目錄清單。

解決方案

除非 Web 伺服器用於共用靜態和非敏感檔案，否則啟用目錄清單會被視為安全性欠佳的作法
這通常可以透過在伺服器上執行簡單的設定變更來完成。停用目錄清單的步驟會視所使用的伺服器類型 (IIS、Apache 等) 而有所不同。如果需要並允許目錄清單，則應採取步驟確保降低此類設定的風險。
這包括：
1. 需要驗證才能存取受影響的頁面。 2. 將受影響的路徑新增至「robots.txt」檔案，以防止能夠透過搜尋引擎搜尋目錄內容。 3. 確保敏感檔案不會儲存在 Web 或文件 root 中。 4. 移除應用程式正常運作不需要的任何檔案。