一、IIS目录遍历漏洞原理及复现
1、原理
“目录遍历”其实并不能算是漏洞，因为它是IIS的一个功能项。在IIS中将该选项勾上，用户就可以通过目录的形式访问网站中的文件，通常这项功能被用于共享文件。但由于管理员的疏忽或经验不足，在网站中开启了这项功能， 这就造成了IIS目录遍历漏洞。
2、复现
打开IIS信息服务管理器，对网站进行进行如下设置：
打开浏览器，在浏览器中访问该站点，可查看到服务器上的站点文件目录：
二、Apache目录遍历漏洞
1.原理
当客户端访问到一个目录时，Apache服务器将会默认寻找一个index list中的文件，若文 件不存在，则会列出当前目录下所有文件或返回403状态码，而列出目录下所有文件的行为称为目录遍历。
2、复现
打开浏览器，访问Apache网站：
打开Apache配置文件httpd.conf：
找到红色框的文件，修改或者删除该文件：
再次访问该网站，目录遍历漏洞复现：
3、修复Apache目录遍历漏洞
按照漏洞的原理，我们得到修复漏洞的方法是：当访问该站点时，如果默认的网站文件（首页文件）不存在，返回403，而不是站点的目录。因此对httpd.conf进行如下修改：
再次访问该站点，网站目录已不再暴露：
