Web應(yīng)用里藏著大量未在主頁(yè)暴露的目錄和文件。這些路徑可能暴露管理后臺(tái)、備份文件、日志和配置數(shù)據(jù)。自動(dòng)化內(nèi)容發(fā)現(xiàn)工具如Gobuster利用詞表快速測(cè)試成百上千條路徑，在攻擊者之前找到它們，是Web應(yīng)用安全測(cè)試的關(guān)鍵環(huán)節(jié)。

以TryHackMe上的Acme IT Support靶場(chǎng)為例，可以清晰看到攻擊者如何一步步構(gòu)建對(duì)目標(biāo)的認(rèn)知：從快速小范圍掃描開(kāi)始，逐步擴(kuò)展到更深層的文件擴(kuò)展名檢查。

第一步：快速初篩

先用小型詞表快速查找常見(jiàn)目錄和文件。這樣能在較短時(shí)間內(nèi)獲得初步結(jié)果。

命令示例：

gobuster dir --url http:/// -w /usr/share/wordlists/SecLists/Discovery/Web-Content/common.txt

dir模式用于查找目錄。--url參數(shù)指定目標(biāo)，-w參數(shù)指向詞表文件。Gobuster默認(rèn)使用10個(gè)線程，將404響應(yīng)視為無(wú)效結(jié)果。

這次掃描發(fā)現(xiàn)9條路徑。其中/development.log返回200狀態(tài)碼，屬于高風(fēng)險(xiǎn)配置失誤。開(kāi)發(fā)日志可能包含堆棧跟蹤、數(shù)據(jù)庫(kù)查詢，有時(shí)還有憑證信息。

修復(fù)建議：從生產(chǎn)服務(wù)器移除開(kāi)發(fā)日志；使用將日志存儲(chǔ)在Web根目錄外的正規(guī)日志系統(tǒng)；如必須保留在服務(wù)器上，需添加訪問(wèn)控制。

第二步：擴(kuò)大覆蓋

換用更大的詞表查找不那么常見(jiàn)的路徑。增加線程數(shù)并過(guò)濾噪音，能讓掃描更快、輸出更干凈。

命令示例：

gobuster dir -u http:/// -w /usr/share/wordlists/dirb/big.txt -t 50 -b 404,403 --no-error

-u參數(shù)設(shè)置目標(biāo)URL；-w指向包含超過(guò)20,000條記錄的dirb大詞表；-t 50將線程數(shù)提升至50以加速掃描；-b 404,403隱藏"未找到"和"禁止訪問(wèn)"響應(yīng)；--no-error移除錯(cuò)誤輸出，讓結(jié)果更整潔。

這次掃描發(fā)現(xiàn)2條第一步未找到的新路徑。

使用-b 404,403能有效減少噪音，只顯示有用結(jié)果。將線程設(shè)為50在穩(wěn)定目標(biāo)上能顯著提速。

修復(fù)建議：從生產(chǎn)環(huán)境移除/cookie-test這類內(nèi)部測(cè)試端點(diǎn)；使用單一站點(diǎn)地圖路徑，將其他變體重定向以避免混淆。

第三步：擴(kuò)展名探測(cè)

添加文件擴(kuò)展名檢查，用于查找備份文件、配置文件和其他敏感文件類型。這成倍增加了測(cè)試用例，覆蓋范圍更廣。

命令示例：

gobuster dir -u http:/// -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x txt,json,bak,zip,md

-x參數(shù)為每條詞表記錄附加指定擴(kuò)展名。例如backup會(huì)變成backup.txt、backup.json、backup.bak等。這能找到僅掃描目錄時(shí)會(huì)遺漏的文件。

整個(gè)流程展示了攻擊者工具鏈的演進(jìn)邏輯：先快速驗(yàn)證目標(biāo)存在性，再逐步加深探測(cè)深度，最后針對(duì)特定文件類型做精準(zhǔn)打擊。防御方的對(duì)應(yīng)策略也很明確——減少生產(chǎn)環(huán)境的暴露面，將敏感文件移出Web可訪問(wèn)區(qū)域，并對(duì)殘留的必要端點(diǎn)實(shí)施嚴(yán)格的訪問(wèn)控制。