强制浏览

什么是强制浏览？

强制浏览是一种网络攻击，攻击者会尝试访问网站无意公开的目录、文件或其他资源。攻击者不会通过公开页面和链接进行浏览，而是直接在浏览器地址栏中输入URL，以探查服务器上的隐藏文件或目录。识别非公开路径的常用方法包括：

• 目录列表
  如果Web服务器启用了目录索引功能，指定目录的URL即可显示其中的文件列表。如果这些目录中存在敏感文件，攻击者便可轻易识别其文件名。
• HTML文件注释
  HTML代码中嵌入的注释可能会无意中泄露非公开资源的路径。
• URL猜测
  攻击者可通过检查目录列表或HTML注释中的信息，推断网站的命名规则。随后，他们可利用这些规则猜测其他目录中非公开文件的名称。

预防措施：

为防止强制浏览攻击：

• 禁用目录列表功能（在 Apache 中，从 http.conf 中移除“Indexes”选项）。
• 删除公开HTML文件中不必要的注释。
• 限制允许Web应用程序访问的范围。

此外，部署Web应用防火墙（WAF）有助于有效缓解此类攻击。F5提供F5 BIG-IP，该产品集成了强大的WAF功能，可防范强制浏览及其他网络威胁。