目录遍历

目录遍历（也称为“路径遍历”）是一种利用Web服务器和Web应用程序中漏洞的网络攻击方法。

通常，Web服务器管理员会指定一个用户可访问的根目录，将用户可访问的文件限制在特定子目录中。但是，如果未正确清理用户提供的文件名或路径输入，攻击者可能会利用“../”等特制序列向上导航（“遍历”）至父目录。此类漏洞可使恶意用户突破预期目录的限制，未经授权访问敏感或隐藏的文件和目录，进而可能导致信息泄露或系统遭到入侵。

为防止目录遍历攻击，Web管理员应实施安全措施，例如限制应用程序脚本可访问的目录（如在PHP“php.ini”文件中配置“open_basedir”设置，以限制文件包含路径）。使用Apache等Web服务器时，必须移除或禁用“httpd.conf”文件中的“Indexes”选项，以防止目录列表功能泄露目录内容。攻击者可利用目录列表查看目录内容，从而发现命名规律，并进一步尝试利用漏洞。

此外，使用Web应用防火墙（WAF）可有效缓解目录遍历攻击。F5在F5 BIG-IP Application Security Manager (ASM)中提供强大的WAF功能，有助于防范路径遍历及类似的Web漏洞。