web 目录扫描工具｜原理、常用工具、实战使用、绕过技巧与防御方案

前言在 Web 渗透测试的信息收集阶段目录扫描是必不可少的一环。很多网站首页看起来干干净净但是后台地址、备份文件、配置文件、源码压缩包、测试页面全都藏在网站的二级路径里。目录扫描工具的作用就是自动枚举网站存在的目录和文件帮我们找到这些隐藏入口。很多新手刚学渗透最先上手的就是目录扫描。但只会敲工具命令远远不够我们还要弄懂底层原理、不同工具优缺点、扫描绕过方法以及如何防御这类探测。本文适合网络安全入门学习、面试复习。一、什么是 Web 目录扫描Web 目录扫描也叫目录爆破、路径爆破。原理就是字典 HTTP 请求工具读取内置的字典里的路径不断向目标网站发送请求根据服务器返回的状态码判断这个路径是否真实存在。举个例子字典里有/admin、/backup、/config.php工具就会依次访问shturl.cc/Ml8n30naw4、shturl.cc/zH8ySZaj4Dq。返回 200页面正常存在返回 301/302页面重定向返回 403路径存在但禁止访问返回 404路径不存在重点403 也是有价值的代表目录真实存在只是不让直接访问后续可以尝试绕过。二、目录扫描的目标文件目录扫描主要寻找这些敏感资源后台管理地址/admin、/manage、/login、/system备份文件www.zip、backup.sql、web.bak、config.bak配置文件config.php、database.ini、.env源码泄露文件.git、.svn、.DS_Store测试文件test.php、phpinfo.php、debug.php日志文件access.log、error.log拿到这些文件很容易造成源码泄露、数据库账号密码泄露为后续漏洞利用铺路。三、主流 Web 目录扫描工具对比1. DirsearchPython 最热门推荐新手跨平台python 编写速度适中支持代理、自定义字典、后缀拼接是目前渗透最常用的目录扫描工具。基础使用命令python3 dirsearch.py -u http://test.com常用参数-u指定目标 URL-w自定义字典-e指定网站脚本后缀 php,asp,aspx,jsp-t设置线程数-x排除指定状态码2. GobusterGo 语言速度快Go 开发编译成二进制不需要装运行环境扫描速度非常快适合大字典快速爆破。gobuster dir -u http://test.com -w wordlist.txtdir 代表目录扫描模式gobuster 还支持 DNS、vhost 扫描。3. DirbKali 自带老牌工具Kali 系统内置上手简单但是扫描速度偏慢字典比较老旧适合简单探测。dirb http://test.com4. Dirbuster图形化界面Java 开发带 GUI 界面不用敲命令适合不习惯命令行的新手。缺点消耗资源大批量扫描容易卡顿。5. FFuFFUZZ 神器全能不仅仅是目录扫描属于 web 模糊测试工具速度极快灵活度最高。ffuf -w wordlist.txt -u http://test.com/FUZZFUZZ 是占位符字典内容会替换 FUuzz 位置。四、实战扫描小技巧选合适字典小字典快速探测后台大字典用来扫备份文件、源码泄露。字典不是越大越好超大字典会耗费很长时间。添加后缀PHP 站点加上php后缀ASP 站点加上asp否则会漏掉很多脚本文件。控制线程线程太高容易把网站打崩也容易被 WAF 拦截实战不要直接拉满线程。识别伪 404 页面很多网站自定义 404 页面状态码依然返回 200工具容易误报。工具一般支持长度过滤通过页面大小区分真实页面和假 404。HTTPS 站点扫描 https 网站注意证书报错问题工具需要添加忽略证书参数。五、目录扫描的绕过思路当扫描请求被 WAF、CDN 拦截可以尝试下面方法降低线程拉长请求间隔模拟人类访问使用代理池切换 IP避免单 IP 封禁修改 User-Agent模拟浏览器请求不要使用工具默认 UA添加 Cookie携带登录凭证扫描需要登录的后台目录随机大小写、编码绕过部分简单防护六、网站如何防护目录扫描删除无用备份文件服务器上不要存放 zip、bak、sql 备份包很多泄露都是运维随手留下的备份文件。修改默认后台路径不要使用/admin、/manage这种通用后台地址改成自定义复杂路径。配置 Nginx/Apache 禁止访问敏感文件在网站配置里禁止直接访问.env、.git、备份文件等。部署 WAF 防护WAF 可以识别高频大量请求拦截目录扫描行为封禁异常 IP。自定义 404 页面统一响应特征增加扫描识别难度关闭目录浏览功能index of禁止服务器列出文件夹内容七、学习总结Web 目录扫描属于信息收集环节核心原理字典枚举 HTTP 请求 状态码判断。常用工具dirsearch入门首选、gobuster 高速扫描、ffuf 全能模糊测试dirb 是 kali 自带。扫描重点目标后台地址、备份文件、配置文件、版本控制文件。风险扫描行为容易触发 WAF实战控制线程必要时使用代理。防御核心清理服务器敏感文件、修改默认路径、web 服务配置限制、WAF 拦截。结语目录扫描是渗透测试最基础的基本功也是 SRC 漏洞挖掘里经常用到的手段。但工具只是辅助重点在于看懂扫描结果分辨误报从扫描结果中寻找可利用的敏感文件。提醒目录扫描仅允许在自己授权的靶场、企业授权测试环境使用严禁对未授权网站进行扫描否则触犯法律后果自负。最后关于网络安全技术储备学好网络安全不论是就业还是做副业赚钱都不错但要学会网络安全还是要有一个学习规划。最后大家分享一份全套的网络安全学习资料给那些想学习网络安全的小伙伴们一点帮助对于0基础小白入门如果你是零基础小白想快速入门网络安全是可以考虑的。一方面是学习时间相对较短学习内容更全面更集中。二方面是可以找到适合自己的学习方案包括网安成长学习路线图、SRC黑客文档、护网行动、黑客必读书单、面试题、学习视频等教程。带你从零基础系统性的学好网络安全需要的可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】1.成长路线图学习规划要学习一门新的技术作为新手一定要先学习成长路线图方向不对努力白费。对于从来没有接触过网络安全的同学我们帮你准备了详细的学习成长路线图学习规划。可以说是最科学最系统的学习路线大家跟着这个大的方向学习准没问题。2.网安入门到进阶视频教程很多朋友都不喜欢晦涩的文字我也为大家准备了视频教程其中一共有21个章节每个章节都是当前板块的精华浓缩。全套教程文末领取哈3.SRC黑客文档大家最喜欢也是最关心的SRC技术文籍黑客技术也有收录SRC技术文籍黑客资料由于是敏感资源这里不能直接展示哦全套教程文末领取哈4.护网行动资料其中关于HW护网行动也准备了对应的资料这些内容可相当于比赛的金手指5.黑客必读书单随着互联网技术的飞速发展网络安全已经成为了当今科技领域的一大热点。这些SQL注入、CCNA、Web渗透、Linux服务器等以其强大的语言理解和防御能力正在守护着我们网络世界。 那以下这些PDF籍就是非常不错的学习资源。6.网络安全岗面试题合集当你自学到这里你就要开始思考找工作的事情了而工作绕不开的就是真题和面试题。这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】