渗透测试二级目录

二级目录不是渗透给访客看的，是测试给扫描器看的。绝大多数人以为目录爆破就是渗透拿字典怼根路径，真正能出东西的测试，往往藏在二级、渗透三级甚至更深的测试层级里。

我见过一个政府网站，渗透根目录干净得像刚擦过的测试黑板，扫描结果只有几个静态页。渗透换到二级目录，测试/admin/ 直接暴露了未做访问控制的渗透备份包，里面躺着三年前的测试全库SQL。你说这算漏洞吗？渗透算，但更算疏漏——管理员以为藏得够深，测试字典里没这个词条，渗透可工具不会这么想。

二级目录的探测逻辑跟一级完全不同。根目录通常有robots.txt、sitemap这些明牌，二级开始才是真正的战场。你拿普通字典跑，命中率低得可怜；换上基于站点结构生成的动态字典，比如从JS文件里提取路径片段再拼接，效果立刻翻倍。有个案例我记得清楚：某电商后台的接口文档放在 /api/v2/docs/，没做鉴权，直接能看全部业务逻辑。这路径不是猜出来的，是从前端打包的chunk文件里扒出来的。

别迷信大字典。500万条的目录字典，跑完要几小时，结果全是404。真正有效的是小字典+递归思路。先跑一级，拿到存活目录，再对每个存活目录跑二级，同时监控响应长度变化——有时候200和404的页面长度一样，那多半是伪静态，得手动看响应头。

还有个反直觉的点：二级目录的命名规律往往暴露开发者的习惯。喜欢用日期命名（/upload/2024/）的，多半有定时清理脚本；用拼音缩写（/htgl/）的，大概率是内部管理系统；直接裸奔用/test/的，里面绝对有调试接口。这些规律没法写进通用字典，得靠平时积累。

我自己的习惯是，拿到目标先看响应头里的Server字段和Cookie的HttpOnly标志，再反查历史DNS记录找子域。子域和二级目录经常做同样的业务，但安全配置差一个量级。比如主站登录接口有验证码和频率限制，子域的同一接口可能啥都没有——这不算二级目录，但思路是一样的：找那些被遗忘的角落。

最后说个实操细节。用ffuf跑目录时，记得加 -mc all 看全部状态码，别只盯着200。403的目录可能只是限制了GET，换POST就通；301的跳转目标里可能带参数，直接暴露内部IP。有一次我遇到个302，跳转地址写的是 http://192.168.1.10/login，内网网段直接暴露了。

二级目录不是技术难点，是耐心活。跑完一遍，再换个字典跑一遍，换个爬虫抓一遍。你永远不知道哪个犄角旮旯里，躺着一份没设密码的phpMyAdmin。