Question

渗透测试中几乎每次都要做的事情就是对网站目录进行枚举，看看有没有敏感文件和后台地址泄露，这类工具有很多，其中御剑就是用户量非常大的一款工具，只要在作业列表栏里面点击添加按钮，输入 HTTP 访问地址之后，再点击“开始扫描”即可对网站进行目录探测，如图 12-4 所示。

图 12-4

一旦发现后台地址，就会对后台进行暴力破解等操作，甚至会利用社会工程学的方式想方设法拿到管理员的密码，相对而言，如果我们连后台地址都不让攻击者找到，那这些攻击手段就用不上，所以，后台目录不能固定，应该由用户登录后台页面后自定义设置，或者直接修改后台文件夹即可，为了提高安全性，还应该在安装完成后立刻提醒管理员修改后台地址，比如 DedeCMS 就一直在后台主页标红显示，如图 12-5 所示。

图 12-5