Cum se dezactivează Directory Listing pe un server Web
In timp ce navigam pe internet, cei mai multi dintre noi ne asteaptam sa vedem doar paginile oferite. Cu toate acestea, uneori, ajungem la o lista de fisiere care s-ar putea vizualiza ca in Windows Explorer, spre deosebire de o pagina web. Aceasta se numeste o listare de director ( Directory Listing) . Acesta metoda este folosita uneori pentru a oferi fisiere cu usurinta pe internet, dar neintentionat, poate permite unui atacator sa obtina informatii valoroase despre site-ul dumneavoastra.
De ce ai vrea sa elimini Directory Listing ?
Listingul directorului se poate intampla in doua modalitati. In primul rand, un atacator ar putea vizualiza toate fisierele dintr-un director web. Acest lucru a permite sa vada fisierele care nu ar putea fi legate de ce ofera site-ul dvs., inclusiv fisierele care pot include informatii sensibile, cum ar fi fisiere backup script ( index.php ~ sau index.php.bak), htaccess, sau fisiere text cu note (password.txt!)
Cealalta metoda in schimb este mult mai periculoasa. Unele servere de web sunt de configurate, astfel incat home web este de fapt home user, astfel incat trimiterea anumitor sintaxe, in bara de adresa de web poate permite listarea unor directoare in afara structurii normale a directorului web. Acest lucru este mai periculos, deoarece un atacator poate fi capabil sa gaseasca si sa execute programe de pe server prin intermediul browser-ului.
Este posibil ca vulnerabilitatea Directory Listing sa ma expuna unui atac ?
In general, acest lucru nu este o amenintare la adresa securitatii, deoarece permite atacatorului numai sa obtina informatii. Cu toate acestea, informatiile colectate vor ajuta atacatorul sa analizeze site-ul dvs. pentru a gasi punctele slabe, si ar putea conduce la un atac de succes.Iin cel mai rau caz, aceasta vulnerabilitate ar putea permite atacatorilor sa atace serverul de web imediat folosind URL-ul.
In cazul in care unul sau mai multe directoare contin un fisier secret, cum ar fi un fisier de parole sau un fisier cheie, atacatorii ar putea sa-l fure. In plus, Directory Traversal poate permite uneori hackerilor sa acceseze fisiere din afara directorului web radacina, ceea ce duce la furtul de fisierele de sistem, sau poate conduce la alte atacuri.
Cum se dezactiveaza Directory Listings in Apache
Daca utilizati serverul de web Apache, puteti dezactiva navigarea prin directoare. Este recomandabil sa urmati pasii de mai jos, asta in cazul in care nu doriti sa limitati acesul utilizatorilor. In acest caz, trebuie sa activati urmatoarele de mai jos, si sa setati exceptii pentru directoarele pe care doriti sa le afisati.
- Navigati la fisierul de configurare Apache (httpd.conf)
- Deschideti fisierul de configurare cu ajutorul unui editor de text ca vi (vi httpd.conf)
- Cauta sectiunea de director de fisier unde se afla site-ul dvs., si cuvantul cheie Optiuni.
- Ar trebui sa arate ceva de genul:
<Directory /home/mywebuser/public_html> Options Indexes </Directory>
- Actualizati optiunea „Indexes” din cele de mai sus, astfel incat linia ar trebui sa citeasca:
Options -Indexes
Daca fisierul de configurare arata diferit, este in regula. Singura actiune importanta, este sa va asigurati, ca indexurile au un semn minus sau doar cuvantul ‘None’. De fapt, daca nu aveti nevoie de alte optiuni, cel mai bine este sa-l setati la ‘None’, de la bun inceput.
Daca nu aveti acces la configuratia principala Apache, puteti face acelasi lucru in fiecare folder prin includerea liniei respective in fisierul .htaccess din fiecare subdirector. Acest lucru se va realiza in mod eficient aceeasi actiune, dar trebuie sa fiti atenti sa blocati, de asemenea, posibilitatea de vizualizare htaccess.
Resurse Suplimentare
