目錄遍歷攻擊可以直接帶來哪些危害

目錄遍歷攻擊的危害：路徑遍歷漏洞允許惡意攻擊者突破Web應用程式的安全控制，直接存取攻擊者想要的敏感數據，包括設定檔、日誌、原始碼等，設定網站所在伺服器不能正常工作，網站癱瘓。

本教學操作環境：windows7系統、Dell G3電腦。

受益來說比較複雜，有一些小型ddos攻擊者，只是為了虛榮心，基本沒有什麼利益但是有組織，有目的的ddos攻擊，是有複雜的利益鏈，一般都會有上家付錢給攻擊者。對被害者來說，危害就是網站，設定網站所在伺服器無法正常運作，網站癱瘓。損害很大。

路徑遍歷漏洞允許惡意攻擊者突破Web應用程式的安全控制，直接存取攻擊者想要的敏感數據，包括設定檔、日誌、原始碼等，配合其它漏洞的綜合利用，攻擊者可以輕易的取得更高的權限，並且這樣的漏洞在發掘上也是很容易的，只要對Web應用程式的讀寫功能塊直接手工檢測，透過返回的頁面內容來判斷，是很直觀的，利用起來也相對簡單。

擴充資料

目錄遍歷攻擊

一、描述

攻擊人員通過目錄便利攻擊可以取得系統檔案及伺服器的設定檔等等。一般來說，他們利用伺服器API、檔案標準權限進行攻擊。嚴格來說，目錄遍歷攻擊並不是web漏洞，而是網站設計人員的設計「漏洞」。

如果web設計者設計的web內容沒有適當的存取控制，允許http遍歷，攻擊者就可以存取受限的目錄，並且可以在web根目錄以外執行指令。

二、攻擊方法

攻擊者透過存取根目錄，發送一系列」．．／」字元來遍歷高層目錄，並且可以執行系統指令，甚至使系統崩潰。

三、發現漏洞

1、可以利用web漏洞掃描器掃描一下web應用，不僅可以找出漏洞，還會提供解決辦法，另外還可以發現是否有sql漏洞及其他漏洞。

2、也可以查看weblog，如果發現有未授權使用者存取越級目錄，表示有目錄便利漏洞。

四、如何防範

防範目錄遍歷攻擊漏洞，最有效的方法就是權限控制，謹慎處理傳向檔案系統API的參數。本人認為最好的防範方法就是組合使用下面兩條：

1、淨化資料：對使用者傳過來的檔案名稱參數進行硬編碼或統一編碼，對檔案類型進行白名單控制，對包含惡意字符或空字符的參數進行拒絕。

2、web應用程式可以使用chrooted環境包含被存取的web目錄，或使用絕對路徑＋參數來存取檔案目錄，時使其即使越權也在存取目錄之內。 www目錄就是一個chroot應用程式。

更多電腦相關知識，請造訪常見問題欄位！

以上是目錄遍歷攻擊可以直接帶來哪些危害的詳細內容。更多資訊請關注PHP中文網其他相關文章！