Coldfusion安全问题...如何隐藏文件目录？

Question

所以,我决定试图打破我的网站...我通过在网站上输入来搜索我的网站:mysite.com/whatever,并且所有用户上传的文件都可以在特定目录下查看.

我应该使用什么样的脚本/对策来阻止这些文件被查看？我已经有一个检查路径和登录状态的脚本,但这似乎不起作用.我一直在寻找解决方案......但我找不到一个.我正在使用ColdFusion 8.

Answer 1

这不是ColdFusion问题,而是Web服务器配置问题.

你应该:

• 配置Web服务器没有显示使用URL时,文件的目录,而文件名(例如,http://www.example.com/files/)

• 将空白的默认Web文档(index.html,index.htm,default.htm,index.cfm等)拖放到该目录中,以便它显示该文档而不是文件列表.如果您使用index.cfm,它将在您的文件路径中激活您的Application.cfm/cfc并使用您构建的任何其他安全性.

(或者,更好的是,两者都做)

Answer 2

保护文件列表和文件本身的最佳方法是将它们存储在网站根文件夹之外的另一个文件夹中.然后,您可以使用CFDIRECTORY和提供它们CFCONTENT.显示文件的页面可以检查您的访问控制,并仅将文件提供给允许查看它们的文件.