25、防范谷歌黑客的网站安全策略

防范谷歌黑客的网站安全策略

1. 目录列表与缺失的索引文件

目录列表存在一定风险，尽管只是轻微的信息泄露，但它能让网络用户看到目录中的大部分（甚至全部）文件以及下级子目录。与通过一系列预设页面进行“引导式”浏览不同，目录列表提供了更无限制的访问方式。根据文件和目录的权限以及服务器允许的文件设置，普通的网络浏览器可能会访问到不应公开的文件。

例如，图 11.1 展示了一个目录列表，它揭示了 htaccess 文件的位置。通常，这个文件（应该名为 .htaccess，而不是 htaccess）用于保护目录内容不被未经授权的访问。然而，服务器配置错误会使这个文件在目录列表中可见甚至可读取。

除非你打算允许访客以 FTP 方式浏览文件，否则应禁用目录列表。在某些服务器上，如果缺少索引文件（由服务器配置定义），就会显示目录列表。像 index.html、index.htm 或 default.asp 这样的文件，应该出现在每个需要向用户展示页面的目录中。在 Apache Web 服务器上，你可以通过在 httpd.conf 文件中的 Indexes 一词前加上破折号或减号来禁用目录列表，示例如下：

Options -Indexes FollowSymLinks MultiViews

2. 使用 robots.txt 阻止爬虫

robots.txt 文件为自动网络爬虫（也称为机器人或爬虫程序）提供了一系列指令。该文件在 www.robotstxt.org/wc/norobots.html 上进行了标准化，它允许你精确地定义哪些文件和目录禁止网络