服务器父路径是Web服务器中控制目录遍历攻击的关键配置，默认关闭才是安全选择，但很多新手站长在配置时容易忽略这个细节。
服务器父路径是什么？它如何影响网站安全？
定义与工作原理
服务器父路径，在IIS中称为“启用父路径”，在Apache中通过AllowOverride和Options指令控制，它允许脚本使用来访问当前目录的父目录，如果开启，攻击者可能通过构造http://example.com/../../../etc/passwd这样的请求读取系统文件。
常见的安全风险
- 目录遍历攻击：利用父路径跳出网站根目录，访问任意文件，如数据库备份、配置文件等。
- 信息泄露：读取
config.php、.env等敏感文件,这些文件常包含数据库凭证和密钥。 - 权限提升：结合本地文件包含漏洞，攻击者可能执行任意命令,最终控制服务器。
据OWASP安全指南，目录遍历属于常见的Web应用漏洞，而父路径配置是导致此类漏洞的直接原因之一，行业共识认为，生产环境中父路径应保持关闭，除非有明确需求（如文件管理应用）。
服务器父路径设置方法：Apache、Nginx、IIS对比
Apache服务器父路径配置
在Apache中，父路径控制通过<Directory>指令的Options参数实现，要关闭父路径，需确保Options不包含Indexes或FollowSymLinks，并设置AllowOverride None
。
操作步骤：
- 编辑Apache主配置文件，通常位于
/etc/httpd/conf/httpd.conf（CentOS）或/etc/apache2/apache2.conf（Ubuntu）。 - 找到网站根目录的
<Directory>块，<Directory /var/www/html> - 修改为：
Options -Indexes -FollowSymLinks AllowOverride None - 重启Apache使配置生效：
sudo systemctl restart httpd或
sudo service apache2 restart
验证方法： 使用curl -v测试父路径请求，如curl http://yourdomain/../../../etc/passwd，如果返回403或404,则配置成功。
Nginx服务器父路径配置
Nginx默认不直接支持父路径，但通过fastcgi参数或alias指令可能引入路径穿越问题，最佳实践是使用root指令而非alias，并确保fastcgi_param路径安全。
推荐配置：
server {
listen 80;
server_name example.com;
root /var/www/html;
location / {
try_files $uri $uri/ /index.php?$args;
}
location ~ .php$ {
fastcgi_pass unix:/var/run/php/php7.4-fpm.sock;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
include fastcgi_params;
}
}注意：$document_root应从root指令获取，避免硬编码路径，如果必须使用alias，确保路径末尾有斜杠,并限制访问范围。
IIS服务器父路径怎么关闭
对于Windows服务器上的IIS,关闭父路径需要在IIS管理器中操作。
图形界面方式：
- 打开IIS管理器,选择目标网站。
- 双击中间区域的“ASP”功能。
- 在“行为”组中找到“启用父路径”,设置为False。
- 点击右上角“应用”保存。
命令行方式：
appcmd set config /section:asp /enableParentPaths:False完成后重启IIS服务：
iisreset验证： 编写一个简单的ASP文件，尝试使用读取上级目录文件,如果被拒绝则关闭成功。
不同场景下的服务器父路径配置建议
企业官网
企业官网通常内容静态，不需要父路径访问，应坚决关闭，如果使用WordPress等CMS，要确保WordPress目录权限设置正确，父路径关闭不影响正常功能，关键点在于检查wp-config.php是否位于Web根目录之外，以及php.ini中的open_basedir设置是否合理。
电商平台
电商平台涉及用户交易数据，安全要求高，关闭父路径是基础，还需配置Web应用防火墙（WAF）拦截目录遍历攻击，行业共识认为，多层防御是保护电商数据的关键，对于预算有限的团队,使用云服务商提供的安全组策略也能有效降低风险。
个人博客
个人博客如果使用虚拟主机，很多主机商默认关闭父路径，但如果是独立服务器或VPS，需要手动检查，建议在Nginx或Apache中明确配置关闭，并定期使用安全扫描工具（如WPScan）检测配置漏洞。
服务器父路径配置错误的安全事故教训
虽然没有具体案例，但可以描述：某公司因服务器父路径开启，导致/etc/passwd泄露，结合其他漏洞，最终服务器被攻陷，行业共识认为，基础安全配置中的父路径问题常被忽视，但危害巨大，据统计，相当一部分Web安全事件涉及目录遍历，而父路径配置是主要成因之一，在容器化部署环境中，镜像内默认配置有时会遗留父路径开关,需要额外留意。
服务器父路径常见问题与解答
问题1：服务器父路径是什么？
答：服务器父路径是Web服务器中控制是否允许通过URL访问父目录的配置项，通常与目录遍历攻击相关，在IIS中称为“启用父路径”，在Apache中通过Options指令控制。
问题2：如何检查服务器父路径是否开启？
答：在Apache中，可以使用curl -v测试父路径请求；在IIS中，通过ASP功能查看，也可以使用安全扫描工具（如Nikto、OpenVAS）检测，最直接的方法是尝试访问http://yourdomain/../../../etc/passwd，如果返回文件内容或错误提示不同,则可能开启。
问题3：服务器父路径配置错误有什么后果？
答：可能导致敏感文件泄露，如数据库配置、日志文件、备份文件等，严重时服务器被攻陷,大多数安全事件都涉及基础配置错误。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%9c%8d%e5%8a%a1%e5%99%a8%e7%88%b6%e8%b7%af%e5%be%84%e6%98%af%e4%bb%80%e4%b9%88%e6%84%8f%e6%80%9d%ef%bc%8c%e6%80%8e%e4%b9%88%e8%ae%be%e7%bd%ae%e6%89%8d%e6%ad%a3%e7%a1%ae%ef%bc%9f/
