网站禁止访问目录怎么选？别再被备案流程搞懵了
备案流程一头雾水，网站上线前你得先搞清楚怎么选服务器、怎么设置目录权限，否则轻则被封，重则被黑。特别是做外贸站或者商城系统，如果网站目录没做好权限控制，可能连登录页面都进不去。今天就给你讲讲【网站禁止访问目录】该怎么设置，从漏洞原理到实操代码，一步到位。
威胁场景：目录遍历漏洞让你的网站成“靶子”
网站被攻击的常见方式之一就是“目录遍历”，也就是黑客通过路径拼接访问到你不该暴露的目录，比如/etc/passwd这种敏感文件。这类攻击在外贸站、企业官网、商城系统中尤为常见，特别是用的CMS系统（比如WordPress、DedeCMS）或定制开发项目，如果没做好访问控制，网站很容易成为攻击者的目标。
举个例子，假设你用的是Nginx服务器，配置不当，黑客可以通过http://yourdomain.com/../../etc/passwd这种路径访问到服务器上的敏感文件，直接拿到系统账号密码。这种情况下，你的网站可能瞬间被黑，甚至被用来搭建DDoS攻击平台。
漏洞原理：为什么网站目录会被访问到？
目录遍历漏洞的核心问题在于服务器配置不当，或者程序代码没有过滤用户输入的路径参数。常见的漏洞类型包括：
- 未限制目录访问：服务器配置中没有对特定路径做权限控制。
- 路径拼接漏洞：程序代码中对用户输入的路径没有做严格的校验，导致恶意用户通过
../绕过目录限制。 - 权限配置不当：服务器目录权限设置不严格，允许任意用户访问或执行脚本。
例如，一个简单的PHP脚本如果写成：
$file = $_GET['file'];
include($file . '.php');
用户输入http://yourdomain.com/index.php?file=../../etc/passwd，就会导致系统文件被读取，这就是典型的路径遍历漏洞。
防护方案：如何设置网站禁止访问目录
1. Nginx配置限制访问路径
如果你用的是Nginx服务器，可以在站点配置文件中设置location块，拒绝访问/etc/、/var/等敏感目录。下面是一个简单的配置示例：
location ~* ^/(etc|var|tmp|proc)/ {deny all;return 403;
}
这段配置会拦截所有访问/etc/、/var/、/tmp/、/proc/等目录的请求，并返回403禁止访问。
2. Apache服务器限制访问
如果你用的是Apache服务器，可以在.htaccess文件或虚拟主机配置中设置<Directory>标签，禁止访问某些目录。例如：
<Directory "/path/to/sensitive/folder">Require all denied
</Directory>
这段配置会阻止所有对/path/to/sensitive/folder目录的访问。
3. PHP代码过滤路径参数
如果你在程序中需要处理文件路径，务必对用户输入进行过滤。比如，使用realpath()函数将用户输入路径转换为绝对路径，并与允许的目录进行比对：
$uploadDir = '/var/www/html/uploads/';
$filename = basename($_GET['file']);
$fullPath = $uploadDir . $filename;if (realpath($fullPath) === false || strpos(realpath($fullPath), $uploadDir) !== 0) {die("非法访问");
}include($fullPath);
这段代码会确保用户访问的路径只能在/var/www/html/uploads/目录内，防止路径拼接攻击。
检测与修复：怎么判断网站是否存在目录遍历漏洞
1. 使用在线扫描工具
你可以用一些开源的Web漏洞扫描工具，比如Netsparker、OWASP ZAP、Acunetix等，对网站进行扫描，检测是否存在目录遍历漏洞。
2. 手动测试访问路径
手动测试也是一种有效方式。你可以在浏览器地址栏中尝试访问以下路径：
http://yourdomain.com/../../etc/passwdhttp://yourdomain.com/../../var/log/apache2/access.loghttp://yourdomain.com/../../etc/ssh/sshd_config
如果网站返回了文件内容，说明存在漏洞，必须立即修复。
3. 使用Burp Suite测试
如果你是做外贸站或商城系统，可以使用Burp Suite这样的专业工具，模拟攻击请求，测试服务器对目录路径的过滤能力。
安全加固清单：网站部署时必须做的防护
为了防止目录遍历等安全漏洞，以下是网站部署时必须进行的安全加固清单：
| 项目 | 内容 | 建议 |
|---|---|---|
| 服务器配置 | 限制敏感目录访问 | 在Nginx或Apache配置中设置访问控制 |
| 代码审查 | 检查文件读取函数 | 使用realpath()等函数过滤路径 |
| 路径参数 | 拒绝用户输入路径拼接 | 禁止使用../等路径绕过 |
| 日志审计 | 定期检查访问日志 | 检查是否有非法访问敏感目录的记录 |
| 安全插件 | 安装Web应用防火墙（WAF） | 使用腾讯云开发者社区推荐的WAF插件 |
| 权限控制 | 严格限制文件和目录权限 | 避免使用777权限，使用644或755等安全权限 |
| 定期更新 | 定期更新服务器和CMS系统 | 避免使用有漏洞的版本 |
来自腾讯云开发者社区的建议：在部署网站时，务必在服务器层面设置目录访问限制，避免因配置不当导致目录遍历漏洞。同时，对于CMS系统，应使用官方推荐的插件进行安全加固。