Webサーバーに存在するパス（URL）を知る手段はあるのでしょうか

Question

例えば誰にも教えていないが特に認証のない https://example.com/this-is-secret というパス（URL）があるとして、悪意のある攻撃者がこのパスが存在することを何らかの手段で知ることはできるのでしょうか。
Webサーバーでディレクトリ一覧を表示する機能はオフにしているものとします。

Answer 1

サイトに脆弱性がなければ、辞書攻撃あるいは総当り攻撃をしない限りパスを知る手段はありません。

Comments

[pafe.aratani]

ありがとうございます。やはりそれしか手段はないのですね。
セキュリティ本、お世話になっています！

Answer 2

例えば誰にも教えていないが

これが「教えたつもりがない」であれば、経路上の各所から漏れる可能性はあります。
例えば、proxy のログとか。

Comments

[退会済みユーザー]

https の通信であっても、ssl 終端の先にある proxy で漏れたり、Web サーバのログ自体から漏れたり。

[pafe.aratani]

なるほど。参考になります。