web中介軟體如果開啟了目錄瀏覽功能，當使用者訪問web應用時，web伺服器會將web應用的目錄結構、檔案資訊返回給客戶端，攻擊者可能利用這些敏感資訊對web應用進行攻擊，如資料庫指令碼sql檔案路徑洩露、程式備份壓縮檔案路徑洩露等。
中
直接訪問web應用存在的一些目錄，如果返回檔案列表資訊，證明存在此漏洞。
googlehacking 語法：
intext:index of /開啟 iis 管理器，然後導航至您要管理的級別；
在「功能檢視」中，雙擊「目錄瀏覽」；
在「操作」窗格中，選擇「目錄瀏覽」功能，單擊「禁用」。
修改apache配置檔案[httpd.conf]，搜尋「options indexes followsymlinks」，修改為「options -indexes followsymlinks」即可。
indexes 的作用就是當該目錄下沒有 index.html 檔案時，就顯示目錄結構，去掉 indexes，apache 就不會顯示該目錄的列表了。
在indexes前，加 + 代表允許目錄瀏覽；加 – 代表禁止目錄瀏覽。這樣的話就屬於整個apache禁止目錄瀏覽了。
通過.htaccess檔案
可以在根目錄新建或修改 .htaccess 檔案中新增如下**就可以禁止apache顯示目錄索引:
options -indexes
在應用的web-inf目錄找到web.xml配置檔案，將「listings」引數的初始化值設定為「false」即可。**示例如下：
default
org.apache.catalina.servlets.defaultservlet
debug
0 listings
false //注意：如果這個地方是true，如果訪問tomcat上的應用程式如果url輸入的是乙個目錄，而不是具體的檔案，則會在瀏覽器上列出該目錄下的檔案列表，設定為false，就不會列出檔案列表了
1
漏洞挖掘 弱口令漏洞
應用存在預設口令或口令較簡單易被猜到。高 首先登陸進入dvwa後，修改安全等級 然後在brute force模組進行測試弱口令 使用brupsuite進行抓包 發現賬戶和密碼是使用get方式提交的，然後我們右鍵將抓到的包傳送到intruder模組進行暴力破解 進入到intruder模組後，發現有四種...
Android APP漏洞挖掘
0x00 1 元件公開安全漏洞 參考android 元件安全。2 content provider檔案資料夾遍歷漏洞 參考content provider檔案資料夾遍歷漏洞 3 androidmanifest.xml中allowbackup安全檢測 4 intent劫持風險安全檢測 參考androi...
漏洞挖掘前言
本系列的答案是對美國雪城大學杜文亮教授seedlabs系列實驗的解答。seedlabs官網 seed專案 始於2002年，由nsf總計130萬美元資助，現已被全球一千多家教育機構，其目標是開發用於計算機和資訊保安教育的實踐實驗室練習 稱為seedlabs 回首已然為數不多的本科時光，seedlabs...