security - 真的有可能破解抛出 403 错误的禁止 Web 浏览器区域吗？

Question

我不是在问如何。我问是不是。是否可以绕过网络上的 403 错误？

让我详细解释一下。在 Web 服务器上，IIS 为项目设置了一个目录，外部无法访问该目录。因此，如果您在 Web 浏览器中输入该目录的路径，Web 浏览器将提示该目录不可访问，并抛出 403 错误。

现在，问题来了。一些文件与一些安全信息一起放置在那里。我们团队中的一位程序员对此非常重视，并且文件被放置在外部世界可以访问的服务器上。另一方面，我认为这并不是什么大问题，因为如果外部用户尝试访问该目录，他的 Web 浏览器将抛出 403 错误。但团队中的其他人表示，黑客仍然可以以某种方式访问​​它。

这让我想到了我的问题。是否可以绕过网络上的 403 错误？我拒绝。一些网络工作人员说也许吧。我不是问如何做。我只是问这是否真的可能。

Answer 1

我从你的信息中了解到，有一个网络服务器，在网络上有一个像这样的目录设置

http://www.example.com/directory

现在，如果您导航到此 URL，您会收到 403 Forbidden 错误吗？但是，如果您知道文件名，则可以访问 http://www.example.com/directory/MyImportantDocument.docx 并且可以在该位置查看该文档吗？

除非您的服务器上有可运行的脚本来执行此操作，否则无法通过网络查看目录内容。然而，URL 并不被认为是安全的，因为它们会记录在浏览器历史记录、代理和服务器日志中，并且还可能被浏览器的引用 header 泄露。我假设这些文件存储在这里，以便远程应用程序可以访问它们？

文件名很容易被攻击者暴力破解。 dirbuster 和 dirb 等工具会自动执行此操作。因此，如果文件不需要远程读取，则应将它们移动到内部服务器，而不能从 Internet 或 DMZ 访问。

如果需要访问，您应该实现某种身份验证。至少激活basic auth on IIS 。这将提示 Web 浏览器用户输入用户名和密码以便查看文件，或者可以通过设置适当的授权 header, which is an encoded username and password 以编程方式访问文件。 .

最好是具有全面的 session 管理功能，例如为此目的预先构建的应用程序。例如。保持最新且安全配置的 CMS。

此外，您还应确保 IIS 网站仅配置为通过 HTTPS 访问，这将防止凭据、URL 路径、 header 和文件内容的流量窥探。