什么是目录遍历攻击？

目录遍历攻击是一种暴力攻击方式，它能够让攻击者访问被限制的文件和目录。这种攻击方式还可以让攻击者了解Web应用程序的目录结构。因此，确保Web应用程序的安全性非常重要，这就需要为Web内容提供保护，同时限制对目录的访问权限。

目录遍历攻击其实很容易实施，但其带来的后果可能非常严重。在黑客攻击中，数据至关重要，如果攻击者能够获取任何重要的或敏感的数据，那么这种简单的攻击就可能导致更多问题的发生。不过，这种攻击通常可以通过一些基本的措施来预防，只要正确地执行这些措施，就不会出现任何问题。

工作方法

目录遍历攻击的工作原理其实相当简单。 它基本上是通过“单词列表”来工作的。所谓“单词列表”，指的是那些在关键或重要文件与目录中经常被使用的单词。 所谓“目录遍历”，其实就是对Web服务器进行遍历，以查找词表中定义的所有单词。最后，会得到与Web服务器返回的URL请求相对应的HTTP状态码。 将会返回一个数字代码，该代码可以表明该文件是否存在，或者所指定的URL可能不正确。

单词列表是这种攻击方式的基础。但是，如果攻击者使用的单词列表中的词汇非常常见，或者使用了之前已经用过的词汇，又或者文件名被改变了（这种情况很常见），那么这种攻击很可能不会成功。因此，为了成功实施攻击，单词列表需要得到妥善的安排和整理。

目录遍历攻击通常是通过利用Web应用程序中的漏洞来实施的。这种漏洞使得攻击者能够操控应用程序用于访问文件和目录的输入参数。

例如，假设某个Web应用程序允许用户通过指定URL参数中的文件名来下载文件。如果应用程序没有正确验证和清理输入数据，那么攻击者就可以操纵这些参数，从而访问那些位于Web根目录之外的文件和目录。

以下是一个可能用于目录遍历攻击的URL示例：

http://example.com/download.php?file=../../../../etc/passwd

在这个例子中，攻击者试图访问/etc/passwd文件。通常，只有root用户才能访问该文件。通过使用“../”这样的符号来遍历目录结构，攻击者能够绕过所有的访问控制机制，从而访问到该文件。

防止目录遍历攻击：

要防止目录遍历攻击，就需要对Web应用程序中的输入数据进行适当的验证和清理。这可以通过以下方式来实现：

• 实施适当的输入验证和清理机制，以确保用户输入的内容仅被用于其预期的目的。
• 应避免使用用户输入来指定文件路径或目录位置。
• 通过限制文件的权限，可以限制对敏感文件和目录的访问。
• 使用Web应用防火墙来阻止那些与已知的目录遍历攻击模式相匹配的请求。

目录遍历漏洞

目录遍历漏洞是由于浏览器用户输入的数据没有得到充分过滤或验证所导致的。这类漏洞通常存在于Web服务器软件/文件，或者是在服务器上执行的应用程序代码中。目录遍历漏洞可以出现在多种编程语言中，比如Python、PHP、Apache等。为了预防目录遍历漏洞，通常需要采取一些相应的措施。

目录遍历攻击通常是通过利用Web应用程序中的漏洞来实施的。这种漏洞使得攻击者能够操控应用程序用于访问文件和目录的输入参数。

例如，假设某个Web应用程序允许用户通过指定URL参数中的文件名来下载文件。如果应用程序没有正确验证和清理输入数据，那么攻击者就可以操纵这些参数，从而访问那些位于Web根目录之外的文件和目录。

用于目录遍历攻击的工具

DIRBUSTER：DirBuster是一款基于Java开发的工具，它提供了图形化用户界面。该工具用于通过暴力破解方式来查找隐藏的文件和目录，从而获取一些有助于攻击的宝贵信息。这种工具的效力取决于所使用的词表。词表越有效，该工具的效果就越好。

DIRB：这是一个基于命令行界面的网页扫描工具，使用C语言编写。DIRB通过发起基于字典的攻击来检测Web服务器上的隐藏文件和目录。该工具已经预装了一些文件和目录，但如果用户需要的话，也可以添加自己的搜索列表。DIRB通常用于Web应用程序的测试或审计工作中。

弃权/不参与：GoBuster能够非常快速地完成各种任务。它是一款基于命令行界面的工具，使用Go语言编写而成。该工具并非预装于系统中。GoBuster共有三种模式：第一种是DNS模式，用于查找给定域的子域名；第二种是DIR模式，用于查找隐藏的文件和目录；第三种是VHOST模式，用于发现服务器的虚拟主机。所谓虚拟主机，指的是有时一台服务器会托管多个域名，而GoBuster可以识别这些虚拟主机。

优点/好处

1. DirBuster提供了图形化界面，因此非常易于理解和使用。任何不太熟悉计算机操作的人都可以使用DirBuster。
2. 与其他目录暴力破解工具相比，GoBuster的速度要快得多。GoBuster是用Go语言编写的，而Go语言以其出色的性能而闻名。
3. DIRB非常易于使用，因为它支持命令行界面。用户只需输入“DIRB”，然后在提示符下输入相应的URL即可。因此，它并不复杂。
4. DIRB是一种被广泛使用的目录强制工具。它主要用于Web应用程序的测试或审计工作中。
5. 在发起任何攻击之前，进行信息收集是必不可少的步骤。因此，通常使用目录遍历工具来获取服务器上文件和目录的相关信息。

缺点/不利因素

1. DirBuster提供了一个图形化用户界面，这既是一种优点，也是一种缺点。因为该工具使用起来非常方便，但它并不兼容命令行界面操作系统。
2. 当用户使用的单词列表较短时，DIRB的运行速度非常快。但是，如果单词列表较长的话，DIRB的运行速度就会变得非常慢。
3. GoBuster并不支持递归地遍历目录。这意味着，对于那些深度较大的目录，仍需再次进行扫描。
4. 在 DirBuster 中，当用户试图增加线程数量以加快获取结果的速度时，系统在出现 20 次连续错误后就会停止。
5. DIRB在多线程处理方面有一个很大的缺点：虽然它在目录暴力破解工具中确实有一定的帮助，但DIRB并不支持多线程处理，这导致该工具的运行速度非常慢。