Web應(yīng)用里藏著大量未在主頁暴露的目錄和文件。這些路徑可能暴露管理后臺、備份文件、日志和配置數(shù)據(jù)。自動化內(nèi)容發(fā)現(xiàn)工具如Gobuster利用詞表快速測試成百上千條路徑，在攻擊者之前找到它們，是Web應(yīng)用安全測試的關(guān)鍵環(huán)節(jié)。

以TryHackMe上的Acme IT Support靶場為例，可以清晰看到攻擊者如何一步步構(gòu)建對目標(biāo)的認(rèn)知：從快速小范圍掃描開始，逐步擴展到更深層的文件擴展名檢查。

第一步：快速初篩

先用小型詞表快速查找常見目錄和文件。這樣能在較短時間內(nèi)獲得初步結(jié)果。

命令示例：

gobuster dir --url http:/// -w /usr/share/wordlists/SecLists/Discovery/Web-Content/common.txt

dir模式用于查找目錄。--url參數(shù)指定目標(biāo)，-w參數(shù)指向詞表文件。Gobuster默認(rèn)使用10個線程，將404響應(yīng)視為無效結(jié)果。

這次掃描發(fā)現(xiàn)9條路徑。其中/development.log返回200狀態(tài)碼，屬于高風(fēng)險配置失誤。開發(fā)日志可能包含堆棧跟蹤、數(shù)據(jù)庫查詢，有時還有憑證信息。

修復(fù)建議：從生產(chǎn)服務(wù)器移除開發(fā)日志；使用將日志存儲在Web根目錄外的正規(guī)日志系統(tǒng)；如必須保留在服務(wù)器上，需添加訪問控制。

第二步：擴大覆蓋

換用更大的詞表查找不那么常見的路徑。增加線程數(shù)并過濾噪音，能讓掃描更快、輸出更干凈。

命令示例：

gobuster dir -u http:/// -w /usr/share/wordlists/dirb/big.txt -t 50 -b 404,403 --no-error

-u參數(shù)設(shè)置目標(biāo)URL；-w指向包含超過20,000條記錄的dirb大詞表；-t 50將線程數(shù)提升至50以加速掃描；-b 404,403隱藏"未找到"和"禁止訪問"響應(yīng)；--no-error移除錯誤輸出，讓結(jié)果更整潔。

這次掃描發(fā)現(xiàn)2條第一步未找到的新路徑。

使用-b 404,403能有效減少噪音，只顯示有用結(jié)果。將線程設(shè)為50在穩(wěn)定目標(biāo)上能顯著提速。

修復(fù)建議：從生產(chǎn)環(huán)境移除/cookie-test這類內(nèi)部測試端點；使用單一站點地圖路徑，將其他變體重定向以避免混淆。

第三步：擴展名探測

添加文件擴展名檢查，用于查找備份文件、配置文件和其他敏感文件類型。這成倍增加了測試用例，覆蓋范圍更廣。

命令示例：

gobuster dir -u http:/// -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x txt,json,bak,zip,md

-x參數(shù)為每條詞表記錄附加指定擴展名。例如backup會變成backup.txt、backup.json、backup.bak等。這能找到僅掃描目錄時會遺漏的文件。

整個流程展示了攻擊者工具鏈的演進邏輯：先快速驗證目標(biāo)存在性，再逐步加深探測深度，最后針對特定文件類型做精準(zhǔn)打擊。防御方的對應(yīng)策略也很明確——減少生產(chǎn)環(huán)境的暴露面，將敏感文件移出Web可訪問區(qū)域，并對殘留的必要端點實施嚴(yán)格的訪問控制。