¿Es posible listar carpetas desde mi servidor web si tengo un index.html vacío en la carpeta raíz?

Puede deshabilitar la lista de directorios en Mongoose usando lo siguiente:

./mongoose -d no      [ Runtime ]
d    no               [ Config File ]

Pero ¿por qué no protege con contraseña el directorio con un archivo .htaccess ?

./mongoose -A ./.htpasswd localhost admin pass

Aún sería susceptible a un ataque MITM, así que use esto con SSL. Si bien este puede ser un servidor web simple y liviano, algo como un Apache completo será mucho más resistente frente a las vulnerabilidades.

El primer párrafo de la respuesta de AJHenderson es ligeramente engañosa. Parece sugerir que depende del navegador negarse a ver el archivo predeterminado y, en cambio, obtener una lista de directorios.

  

Si es un archivo predeterminado, terminará mostrando de forma predeterminada en    la mayoría de los navegadores

Eso es incorrecto. No hay un navegador que pueda forzar al servidor web a listar el contenido del directorio si el directorio está configurado para servir una página predeterminada

Usted no tiene que configurar explícitamente su servidor web para evitar la inclusión de directorios. Basta con configurarlo para buscar archivos predeterminados (generalmente index.html , index.php , default.html ..) y servirlos.

En HTTP no hay ninguna solicitud Show me teh directoryz plz . Si el servidor web está configurado para servir los archivos index.html por defecto, no hay manera *, AFAIK, de enumerar los archivos en el directorio en el que existe index.html .

Aparte de eso, ambas respuestas ofrecen excelentes consejos de seguridad.

*** Excluyendo errores en el servidor web o los rastreadores brute-force / dictionary, como IntelliTamper .

Solo para aclarar la respuesta de aus. No, simplemente poner un archivo de índice no es suficiente para impedir la búsqueda en el directorio. Si es un archivo predeterminado, entonces se mostrará de forma predeterminada en la mayoría de los navegadores, pero es necesario que deshabilite la búsqueda en el directorio como se mencionó anteriormente. Además, deshabilitar la búsqueda en el directorio evitará que sus amigos accedan a la carpeta a menos que haya activado la búsqueda en el directorio de esa carpeta en particular.

El acceso protegido por contraseña o la configuración de FTP es la forma ideal de manejar esta situación. También querrá usar SSL (incluso si solo es un certificado autofirmado) para proteger la conexión. Si se autofirma, dará una advertencia cuando sus amigos intenten acceder a ella, pero podrán verificar que la huella digital es la clave de su servidor y luego confiar manualmente en el certificado para evitar advertencias en el futuro.