Webサーバ内部への匿名アクセス

質問

Webサーバ構築に関しての、非常に初心者的な質問です。

とあるサーバレンタルサービスを利用して、ごく簡単な内容のWebサイトを構築しようと考えています。

その際、とある事情があり、そのWebサーバ内部（レンタルで自分に割り当てられたサーバ領域全部）に置いた全てのファイルの存在、ディレクトリの構造を、不特定多数の閲覧者に分かるようにしたいと考えています。

普通に考えるならば、そのサイト上（Webサーバ内）の全てのファイル、ディレクトリに対してアクセス制限を一切かけず、その上でサイトマップを作成すれば済む話かと思います。

しかし、とある事情で、サイトマップに記載していない隠しファイルや隠しディレクトリがあるのでは？と勘繰る閲覧者に対しても、そのような隠しファイル・ディレクトリは当方のサイト上（Webサーバ内）には一切存在しないという証明を返せるようにしたいと思っています。

そこで、普通に自分のＰＣ内のディレクトリ（フォルダ）、およびその内部のファイル類をウィンドウやコマンドラインで一覧表示できるのと同様にして、当方のサイト上（Webサーバ内）のファイル、ディレクトリ構造を不特定多数の閲覧者に対して一覧表示（隠しファイル・ディレクトリも強制的に表示）できるようにしたいと考えています。

このような方法を実現するには、具体的にどのような実装をすれば宜しいでしょうか。
ご教示の程、宜しくお願いいたします。

回答No.2

OrangeCup150 · ベストアンサー

何かを証明するために「方法」を用いたとしてもそれで証明になるわけではありません。なぜなら「方法」は欺きやすいものですからそれで証明になることはありません。
証明するために必要なのは「宣言」と「信用」です。

つまり、隠しファイルと隠しディレクトリがないことを証明するために、隠しファイルと隠しディレクトリを強制表示したとしても、その表示結果を不特定多数の閲覧者が信頼するとは限りません。彼らが自分たちは欺かれていると思うのなら、そもそもこの方法による証明は意味を成しません。

結論を言えば、そのような無駄なことをするのは止めるべきと思います。一部のユーザのことよりも、大多数のユーザのためにより良いＷＥＢサイトを構築することに努力をそそぐべきです。

また、ＷＥＢサーバの内部構造は原則、公開するべきでないというのがセキュリティ一般の回答です。
なぜなら、隠しファイルや隠しディレクトリには通常、外部からはアクセスされては困る個人情報（たとえばメールアドレスなど）を記録しているファイルがありその場所が知れわたることになるためセキュリティリスクを増加させます。
つまり、あなたのＷＥＢサイトに不正侵入を試みようとする危険人物がいたとしたら、下調べのための機能になってしまいます。

初心者の方には分かりづらいと思いますが、インターネットでは不正侵入事件が後を絶たないぐらい多く起きています。
その多くはセキュリティ設定（設計）のずさんさが原因であることがしばしばです。
くどいようですが、ＷＥＢサーバ内のファイル、ディレクトリ（隠しファイル、ディレクトリを含む）の構造を公開するようなことは絶対に止めるべきです。
あなたがゴミを捨てに出かけるときに玄関の鍵をかけないことを泥棒が知っているとき何が起こるかは自明なように、あなたのＷＥＢサイトの内部構造を犯罪者が知っているときに不正侵入が起きます。（すくなくとも試みられるでしょう）
そして、ＷＥＢサーバ（あるいはサイト）が乗っ取られるとき、犯罪者はあなたの名前を利用して犯罪を犯すということを忘れないで下さい。

＃　読みかえして思ったのですが、文体が説教くさくてすみません。ｍ（＿＿）ｍ
＃　繰り返しますが「安全」なＷＥＢサイトを作るように十分、注意してください。

お礼

迅速なご回答、誠にありがとうございました。

当方、初心者ゆえ、セキュリティに関して考えが甘かったと反省しております。
言われてみれば当然のことであり、そもそも論として不特定多数の相手に内部構造を教えるという考えに問題があったかもしれません。その点は肝に銘じたいと思います。

言い訳にすぎませんが、当方のメインのサイトは、これとは全く別に構築を既にしており、そちらは（玄人、専門家の方から見れば甘いと言われるかもしれませんが、、初心者として出来る範囲で）ごく普通の公開、運用体制を採っております。

今回構築しようとしたものは、そのメインサイトでどうしても間接的に必要となる、ある一部の特殊用途についてであり、そもそも個人情報やパスワード等が記載された（隠し）ファイルの類は、間違ってもそちらの特殊サイトには置くつもりは毛頭ありませんでした。

ただ、どうしてもその特殊機能に際して、一切当方がやましいところが無い、裏で何か不正的なことをしていないという証明を不特定多数の閲覧者に技術的にできるようにしたいと考えておりました。

ですが、今回頂戴したご助言を踏まえて、改めてサイト構築の安全性、セキュリティ管理について、今一度根本的に見直したいと思います。重ね重ね、貴重なご助言ありがとうございました（礼）。

回答No.1

0909union

フォルダーアクセス権を与えればいい。通常、フォルダーアクセス権はIISでは無効。それ以外は、有効（ただし、フォルダーや、その下層下位にWeb匿名ユーザー＆特定ユーザーにアクセス権がないと見れない）

単に見せたいのならCGIでWindowsならtreeコマンド（もちろんdirでも）、それ以外なら、lsコマンドを実行するだけ

問題は、フォルダーに対して一覧する権限を与えればいいのであって、書き込み編集権(UNIX, Linuxなら書き込みだけはずす）ははずせばいい。

それで、ユーザー提供する箇所は、特定ユーザーにフルコントロールさせればいい。

おまけは、仮想サーバーの一覧とフルパスを教えればいい。これはWeｂサーバーの設定を見せてもいい。

と言うより、そのように管理してなかったのですか？　基本ですが。

お礼

迅速なご回答、特に具体的な実装の技術的情報をご助言いただき、誠にありがとうございました。

ご助言いただいた内容を一読させていただき、すぐ自分で理解できなかったという意味で、まだまだ当方は初心者だなと自覚しました。。もっと勉強します。

具体的な実装方法をご教示いただけたと言う点で、本当はベストアンサーにさせていただきたかったのですが、セキュリティ面におけるお話の重みを踏まえ、非常に悩んだ末、別の方のご助言をベストアンサーとさせていただきました。その点は何卒ご了承ください。また今後ともどうぞ宜しくお願いいたします。