Листинг директорий: почему Nginx и Apache показывают список файлов
Листинг директорий возникает, когда веб-сервер при отсутствии файла index.html генерирует HTML-страницу со списком всех файлов в папке (Index of /uploads/).
Это позволяет злоумышленникам исследовать структуру каталогов сайта, находить скрытые документы, бэкапы и файлы конфигурации.
Степень критичности и чем опасна уязвимость
Автоматический сбор информации обо всех загруженных файлах пользователей и служебных скриптах.
Как наш сканер находит эту уязвимость
Site Check проверяет типовые папки (/uploads, /images, /static) на наличие текста 'Index of /'.
Диагностика сетевых заголовков и серверных политик выполняется сбором и парсингом HTTP response headers на корневом и вспомогательных путях. Оценивается присутствие политик Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, а также атрибутов безопасности куки-файлов (HttpOnly, Secure, SameSite).
Как устранить уязвимость (Пошаговое руководство)
Для ликвидации риска выполните следующие действия в конфигурации вашего сервера или приложения:
# Отключение листинга директорий в Nginx:
autoindex off;
- Установите autoindex off; в конфигурационном файле Nginx.
- Для Apache добавьте директиву Options -Indexes в .htaccess.
Анатомия атаки и реальные последствия для проекта
Если в каталоге отсутствует index.html, а на сервере включен autoindex, браузер отображает список всех файлов. Злоумышленник может изучить структуру проекта, найти забытые тестовые скрипты и медиафайлы.
Влияние на соответствие стандартам: Нарушение требований безопасности стандартов OWASP Top 10 (A05:2021 Security Misconfiguration), ISO/IEC 27001 и отраслевых норм 152-ФЗ.
Матрица эшелонированной защиты (Defense-in-Depth)
| Уровень защиты | Техническое действие | Инструмент / Механизм |
|---|---|---|
| Периметр веб-сервера (Nginx / Edge) | Применение изолирующих правил блокировки для маршрутов, связанных с directory-listing | Nginx Security Directives |
| Среда исполнения и конфигурация | Отключение отладочных механизмов и разграничение прав доступа к компоненту directory-listing | Runtime Security Hardening |
| Пайплайн DevSecOps контроля | Автоматическое тестирование конфигурации directory-listing в CI/CD пайплайне при каждом релизе | Site Check Security Gate |
Верификация устранения: команды для быстрой проверки
После внесения изменений в настройки сервера или исходный код приложения проверьте отсутствие уязвимости с помощью терминальных утилит:
curl -s https://ваш-домен.com/images/ | grep -i "Index of /"
# Не должно быть листинга
Рекомендации DevSecOps для безопасного развертывания
В конфигурации Nginx убедитесь, что указано autoindex off; в контексте server или http.
- ✓ Внедрить строгую политику Content-Security-Policy без небезопасных инлайн-скриптов
- ✓ Включить заголовок HSTS с директивой includeSubDomains и сроком не менее 1 года
- ✓ Установить флаги Secure, HttpOnly и SameSite=Lax для всех авторизационных куки
- ✓ Настроить редирект HTTP на HTTPS с корректным статус-кодом 301 Permanent
Часто задаваемые вопросы по устранению
Корректно настроенные заголовки безопасности формируют первый эшелон браузерной защиты клиентов. Отсутствие современных директив CSP и HSTS оставляет пользователей беззащитными перед атаками типа Clickjacking, MIME-sniffing и перехватом трафика в небезопасных сетях Wi-Fi.
Для предотвращения вектора «Листинг директорий: почему Nginx и Apache показывают список файлов» зафиксируйте проверочные правила в CI/CD пайплайне и настройте непрерывный мониторинг внешнего периметра через Site Check.