【Apacheセキュリティ対策シリーズ】Apacheはデフォルトで「ディレクトリリスティング」という機能が有効になっています。 この機能が有効な場合、URLにディレクトリを指定したり、該当ページが無い場合に、そのディレクトリの一覧が表示されてしまい、このままだと、このサイトのファイル一覧が容易に閲覧出来てしまい、攻撃のリスクが高まります。また、設定ファイルなどを読まれてしまうとさらに危険ですので、この機能を無効化してしまいましょう。

Apache2.4セキュリティ「ディレクトリ一覧表示対策」

Apache はデフォルトで「ディレクトリリスティング」という機能が有効になっています。 
この機能が有効な場合、URL にディレクトリを指定したり、該当ページが無い場合に、そのディレクトリの一覧が表示されてしまいます。 
こんな具合に
<div class="img_wrap"><amp-img layout="responsive" src="/images/posts/2/KI43q2XS6UaBxmXVuPA7.png" width="1689" height="998" alt="ディレクトリリスティング_対策前"></div> 
このままだと、このサイトのファイル一覧が容易に閲覧出来てしまい、攻撃のリスクが高まります。（フレームワークやそのバージョンなど、WEB アプリケーションを構成するものが見る人が見ればわかります。） 
また、設定ファイルなどを読まれてしまうとさらに危険です。ですので、この機能を無効化してしまいましょう。
<h3 id="サーバ全体に設定する場合">サーバ全体に設定する場合</h3>
<ul>
<li>ファイル設置箇所
<ul>
<li>/etc/httpd/conf</li>
</ul>
</li>
<li>ファイル名
<ul>
<li>httpd.conf</li>
</ul>
</li>
</ul>
<pre><code class="hljs language-shell"># httpd.conf のあるディレクトリへ移動
cd /etc/httpd/conf
# vim コマンドで編集
vim httpd.conf
</code></pre>
※ vim コマンドを入れていない場合は vi コマンドで編集出来ますが、テキストを色分けしてくれたりと便利で使いやすいので、vim コマンドのインストールをおすすめします。
ちなみに、いちいちファイルのある場所まで移動するのが面倒な場合は、フルパスで指定すれば OK です。こんな具合に
<pre><code class="hljs language-shell">vim /etc/httpd/conf/httpd.conf
</code></pre>
エディターで開いたら、そこの 131行目あたり
<pre><code class="hljs language-shell">&#x3C;Directory "/var/www/html">
 #
 # Possible values for the Options directive are "None", "All",
 # or any combination of:
 # Indexes Includes FollowSymLinks SymLinksifOwnerMatch ExecCGI MultiViews
 #
 # Note that "MultiViews" must be named *explicitly* --- "Options All"
 # doesn't give it to you.
 #
 # The Options directive is both complicated and important. Please see
 # http://httpd.apache.org/docs/2.4/mod/core.html#options
 # for more information.
 #
 Options Indexes FollowSymLinks

 #
 # AllowOverride controls what directives may be placed in .htaccess files.
 # It can be "All", "None", or any combination of the keywords:
 # Options FileInfo AuthConfig Limit
 #
 AllowOverride None

 #
 # Controls who can get stuff from this server.
 #
 Require all granted
&#x3C;/Directory>
</code></pre>
ここの 
Options Indexes FollowSymLinks 
を 
Options FollowSymLinks 
へ変更します。
<pre><code class="hljs language-shell">&#x3C;Directory "/var/www/html">
 #
 # Possible values for the Options directive are "None", "All",
 # or any combination of:
 # Indexes Includes FollowSymLinks SymLinksifOwnerMatch ExecCGI MultiViews
 #
 # Note that "MultiViews" must be named *explicitly* --- "Options All"
 # doesn't give it to you.
 #
 # The Options directive is both complicated and important. Please see
 # http://httpd.apache.org/docs/2.4/mod/core.html#options
 # for more information.
 #
 #Options Indexes FollowSymLinks
 Options FollowSymLinks

 #
 # AllowOverride controls what directives may be placed in .htaccess files.
 # It can be "All", "None", or any combination of the keywords:
 # Options FileInfo AuthConfig Limit
 #
 AllowOverride None

 #
 # Controls who can get stuff from this server.
 #
 Require all granted
&#x3C;/Directory>
</code></pre>
ここでは、最初にあった設定をコメントアウトし、新たに Options FollowSymLinks を書き加えています。慣れないうちはこういった書き方をしておけば、設定（書式）に不備があった際にすぐに元に戻せて安心ですね。
Apache を再起動する前に書式チェックを行います。
<pre><code class="hljs language-shell"># httpd.conf の文法チェック
apachectl configtest
</code></pre>
↓「Syntax OK 」の表記が出たら OK
<pre><code class="hljs language-shell">[root@localhost ~]# apachectl configtest
Syntax OK ←この表記が出たら OK
</code></pre>
httpd.conf を編集したら、再起動の前にかならず書式チェックを行う習慣をつけましょう。 
書式チェックを行わずに再起動を行いエラーが出ると、わりとテンパります（本番サーバならなおさら）笑
それでは、Apache を再起動します。
<pre><code class="hljs language-shell">#　Apache を再起動
systemctl restart httpd.service
</code></pre>
ちなみに、Apache の再起動時のコマンドはいくつかありますが、下記でも行えます。
<pre><code class="hljs language-shell">apachectl restart
</code></pre>
再起動が完了したら、ブラウザからアクセスして画面を確認してみましょう。
<div class="img_wrap"><amp-img layout="responsive" src="/images/posts/2/oNG6YOmCJGyaFRAcYdh3.png" width="1690" height="996" alt="ディレクトリリスティング対策後"></div>
ディレクトリの一覧が表示されなくなりました。 
（Forbiddon になっていれば OK）
<h3 id="特定のディレクトリ範囲のみ設定する場合">特定のディレクトリ（範囲）のみ設定する場合</h3>
設定するなら全体でかけてしまうのが最良ですが、場合によっては環境の制限であったりでそれが難しい場合があります。その時は、.htaccess の設定からも、ディレクトリ一覧の表示を制御する事ができます。 
ちなみに.htaccess を使うと、サイト全体でなくとも、設置した箇所で任意のディレクトリ以下の一覧表示を制御することもできます。
<h4 id="htaccess-の設定">.htaccess の設定</h4>
<pre><code class="hljs language-shell"># ファイル一覧表示を無効にする
Options -Indexes
</code></pre>
ちなみに、.htaccess で設定を行う場合は、httpd.conf の AllowOverride設定を確認・修正の必要があります。
<h5 id="allowoverride">AllowOverride</h5>
AllowOverride は、.htaccess による設定の上書きを許可するかを指定するディレクティブです。]
<dl>
<dt>All</dt>
<dd>全ての上書きを許可する</dd>
<dt>None</dt>
<dd>全ての上書きを禁止する</dd>
<dt>AuthConfig</dt>
<dd>認証関連のディレクティブの使用を許可する</dd>
<dd>（AuthUserFile ・ AuthName ・ AuthType）</dd>
<dd>※ ベーシック認証はここ</dd>
<dt>FileInfo</dt>
<dd>ドキュメントタイプやファイルタイプ関連のディレクティブの使用を許可する</dd>
<dd>（AddType ・ AddEncoding ・ AddLanguage） </dd>
<dd>※ mod_rewrite はここ</dd>
<dt>Indexes</dt>
<dd>ディレクトリインデックス関連のディレクティブの使用を許可する。 ※今回はここ</dd>
<dt>Limit</dt>
<dd>アクセス制御関連のディレクティブの使用を許可する</dd>
<dd>（PostsListOrder ・ Allow ・ Deny）</dd>
<dd>※ IP 制限はここ</dd>
<dt>Options</dt>
<dd>特定のディレクトリにおける機能を指定するためのディレクティブの使用を許可する。</dd>
</dl>

Apache はデフォルトで「ディレクトリリスティング」という機能が有効になっています。 
この機能が有効な場合、URL にディレクトリを指定したり、該当ページが無い場合に、そのディレクトリの一覧が表示されてしまいます。 
こんな具合に
<div class="img_wrap"><img src="/images/posts/2/KI43q2XS6UaBxmXVuPA7.png" width="1689" height="998" alt="ディレクトリリスティング_対策前"></div> 
このままだと、このサイトのファイル一覧が容易に閲覧出来てしまい、攻撃のリスクが高まります。（フレームワークやそのバージョンなど、WEB アプリケーションを構成するものが見る人が見ればわかります。） 
また、設定ファイルなどを読まれてしまうとさらに危険です。ですので、この機能を無効化してしまいましょう。
<h3 id="サーバ全体に設定する場合">サーバ全体に設定する場合</h3>
<ul>
<li>ファイル設置箇所
<ul>
<li>/etc/httpd/conf</li>
</ul>
</li>
<li>ファイル名
<ul>
<li>httpd.conf</li>
</ul>
</li>
</ul>
<pre><code class="hljs language-shell"># httpd.conf のあるディレクトリへ移動
cd /etc/httpd/conf
# vim コマンドで編集
vim httpd.conf
</code></pre>
※ vim コマンドを入れていない場合は vi コマンドで編集出来ますが、テキストを色分けしてくれたりと便利で使いやすいので、vim コマンドのインストールをおすすめします。
ちなみに、いちいちファイルのある場所まで移動するのが面倒な場合は、フルパスで指定すれば OK です。こんな具合に
<pre><code class="hljs language-shell">vim /etc/httpd/conf/httpd.conf
</code></pre>
エディターで開いたら、そこの 131行目あたり
<pre><code class="hljs language-shell">&#x3C;Directory "/var/www/html">
 #
 # Possible values for the Options directive are "None", "All",
 # or any combination of:
 # Indexes Includes FollowSymLinks SymLinksifOwnerMatch ExecCGI MultiViews
 #
 # Note that "MultiViews" must be named *explicitly* --- "Options All"
 # doesn't give it to you.
 #
 # The Options directive is both complicated and important. Please see
 # http://httpd.apache.org/docs/2.4/mod/core.html#options
 # for more information.
 #
 Options Indexes FollowSymLinks

 #
 # AllowOverride controls what directives may be placed in .htaccess files.
 # It can be "All", "None", or any combination of the keywords:
 # Options FileInfo AuthConfig Limit
 #
 AllowOverride None

 #
 # Controls who can get stuff from this server.
 #
 Require all granted
&#x3C;/Directory>
</code></pre>
ここの 
Options Indexes FollowSymLinks 
を 
Options FollowSymLinks 
へ変更します。
<pre><code class="hljs language-shell">&#x3C;Directory "/var/www/html">
 #
 # Possible values for the Options directive are "None", "All",
 # or any combination of:
 # Indexes Includes FollowSymLinks SymLinksifOwnerMatch ExecCGI MultiViews
 #
 # Note that "MultiViews" must be named *explicitly* --- "Options All"
 # doesn't give it to you.
 #
 # The Options directive is both complicated and important. Please see
 # http://httpd.apache.org/docs/2.4/mod/core.html#options
 # for more information.
 #
 #Options Indexes FollowSymLinks
 Options FollowSymLinks

 #
 # AllowOverride controls what directives may be placed in .htaccess files.
 # It can be "All", "None", or any combination of the keywords:
 # Options FileInfo AuthConfig Limit
 #
 AllowOverride None

 #
 # Controls who can get stuff from this server.
 #
 Require all granted
&#x3C;/Directory>
</code></pre>
ここでは、最初にあった設定をコメントアウトし、新たに Options FollowSymLinks を書き加えています。慣れないうちはこういった書き方をしておけば、設定（書式）に不備があった際にすぐに元に戻せて安心ですね。
Apache を再起動する前に書式チェックを行います。
<pre><code class="hljs language-shell"># httpd.conf の文法チェック
apachectl configtest
</code></pre>
↓「Syntax OK 」の表記が出たら OK
<pre><code class="hljs language-shell">[root@localhost ~]# apachectl configtest
Syntax OK ←この表記が出たら OK
</code></pre>
httpd.conf を編集したら、再起動の前にかならず書式チェックを行う習慣をつけましょう。 
書式チェックを行わずに再起動を行いエラーが出ると、わりとテンパります（本番サーバならなおさら）笑
それでは、Apache を再起動します。
<pre><code class="hljs language-shell">#　Apache を再起動
systemctl restart httpd.service
</code></pre>
ちなみに、Apache の再起動時のコマンドはいくつかありますが、下記でも行えます。
<pre><code class="hljs language-shell">apachectl restart
</code></pre>
再起動が完了したら、ブラウザからアクセスして画面を確認してみましょう。
<div class="img_wrap"><img src="/images/posts/2/oNG6YOmCJGyaFRAcYdh3.png" width="1690" height="996" alt="ディレクトリリスティング対策後"></div>
ディレクトリの一覧が表示されなくなりました。 
（Forbiddon になっていれば OK）
<h3 id="特定のディレクトリ範囲のみ設定する場合">特定のディレクトリ（範囲）のみ設定する場合</h3>
設定するなら全体でかけてしまうのが最良ですが、場合によっては環境の制限であったりでそれが難しい場合があります。その時は、.htaccess の設定からも、ディレクトリ一覧の表示を制御する事ができます。 
ちなみに.htaccess を使うと、サイト全体でなくとも、設置した箇所で任意のディレクトリ以下の一覧表示を制御することもできます。
<h4 id="htaccess-の設定">.htaccess の設定</h4>
<pre><code class="hljs language-shell"># ファイル一覧表示を無効にする
Options -Indexes
</code></pre>
ちなみに、.htaccess で設定を行う場合は、httpd.conf の AllowOverride設定を確認・修正の必要があります。
<h5 id="allowoverride">AllowOverride</h5>
AllowOverride は、.htaccess による設定の上書きを許可するかを指定するディレクティブです。]
<dl>
<dt>All</dt>
<dd>全ての上書きを許可する</dd>
<dt>None</dt>
<dd>全ての上書きを禁止する</dd>
<dt>AuthConfig</dt>
<dd>認証関連のディレクティブの使用を許可する</dd>
<dd>（AuthUserFile ・ AuthName ・ AuthType）</dd>
<dd>※ ベーシック認証はここ</dd>
<dt>FileInfo</dt>
<dd>ドキュメントタイプやファイルタイプ関連のディレクティブの使用を許可する</dd>
<dd>（AddType ・ AddEncoding ・ AddLanguage） </dd>
<dd>※ mod_rewrite はここ</dd>
<dt>Indexes</dt>
<dd>ディレクトリインデックス関連のディレクティブの使用を許可する。 ※今回はここ</dd>
<dt>Limit</dt>
<dd>アクセス制御関連のディレクティブの使用を許可する</dd>
<dd>（PostsListOrder ・ Allow ・ Deny）</dd>
<dd>※ IP 制限はここ</dd>
<dt>Options</dt>
<dd>特定のディレクトリにおける機能を指定するためのディレクティブの使用を許可する。</dd>
</dl>

Author