IIS关Directory Browsing后，如何禁止HTTP访问log目录敏感日志

关闭 Directory Browsing 仅会在目录下无默认文档（如index.html）时禁止展示目录文件列表，从来不会拦截对已知完整路径的静态文件的直接访问，这也是你当前配置漏出敏感文件的核心原因。

1. 对敏感目录配置授权拦截 #

• 直接定位到IIS站点下的log文件夹，打开其内置的授权规则配置项
• 删除默认存在的“允许所有用户访问”规则，新增拒绝匿名用户访问的规则，等效在该目录的web.config中写入：

<configuration>
  <system.webServer>
    <authorization>
      <deny users="?" />
    </authorization>
  </system.webServer>
</configuration>

• 配置生效后，匿名HTTP请求只要指向该目录下的任何文件，都会直接返回401未授权状态，不会读取文件内容返回；如果需要运维在线查看日志，可以单独给指定的域账号/本地账号开放该目录的访问权限，不会影响日常运维操作。

2. 用请求过滤做路径级硬拦截 #

• 打开站点根目录的**请求筛选（Request Filtering）**功能，该功能的规则在IIS请求处理管道的早期节点执行，优先级高于静态文件读取逻辑，不存在轻易绕过的可能：
  • 切换到「隐藏的命名空间」标签，添加/log作为被隐藏的路径，之后所有指向该路径下任意文件的请求，IIS都会直接返回404，不会泄露实际目录的存在
  • 切换到「文件扩展名」标签，对.log、.config、.bak、.old这类非业务必需公开的文件后缀设置拒绝访问，避免其他遗漏的敏感文件被通过猜路径的方式直接获取

3. 从存储架构上根源隔离 #

• 不要把应用日志、敏感配置文件存放在网站的物理根目录范围内：将日志输出路径调整到网站根目录之外的独立磁盘路径，比如网站部署在C:\inetpub\wwwroot\mysite，日志直接输出到D:\app_data\mysite_logs。这种架构下HTTP请求的访问范围被严格限制在网站根目录内，哪怕攻击者知道日志的完整文件名，也无法通过HTTP协议访问到根目录范围外的文件，从逻辑上不存在被泄露的可能，也是生产环境最推荐的长期方案。

很多运维人员会把目录浏览关闭等同于“文件访问安全”，实际上IIS默认的静态文件处理逻辑，是把站点目录下所有的静态文件视为可公开路由的资源，这套逻辑本身就不具备敏感文件防护能力，所有存放在站点目录下的敏感文件，必须单独配置访问规则，不能依赖目录浏览开关的防护能力。

内容的提问来源于stack exchange，提问作者funbrain9