web服务器启用了不安全的HTTP方法

1、什么是不安全的HTTP方法

开发人员、运维人员一般可能用于调试服务器，开启了一些客户端能够直接读写服务器端文件的方法，例如：DELETE, PUT, COPY, MOVE, PROPFIND, PROPPATCH, SEARCH, LOCK, UNLOCK 等HTTP协议支持的方法。

2、安全风险

可能直接通过浏览器直接在Web服务器上上传、修改或删除Web页面、脚本和文件。

3、不安全的HTTP方法——原理

方法	说明
PUT	向指定的目录上载文件
DELETE	删除指定的资源
COPY	将指定的资源复制到Destination消息头指定的位置
MOVE	将指定的资源移动到Destination消息头指定的位置
SEARCH	在一个目录路径中搜索资源
PROPFIND	获取与指定资源有关的信息，如作者、大小与内容类型
TRACE	在响应中返回服务器收到的原始请求

服务器端由于配置权限不当，导致允许了客户端发送 DELETE, PUT, COPY, MOVE, PROPFIND, PROPPATCH, SEARCH, LOCK, UNLOCK等请求，并且解析请求进行操作文件。如果服务器必须要支持WebDAV，请务必禁用它或禁止不必要的HTTP方法。

4、测试步骤

使用CURL发送OPTIONS请求，查看响应头中的Allow行

命令：curl -I -X OPTIONS http://payloads.online

➜  ~ curl -I -X OPTIONS http://10.211.55.16/
HTTP/1.1 200 OK
Date: Wed, 18 Apr 2018 02:17:47 GMT
Server: Microsoft-IIS/6.0
MS-Author-Via: DAV
Content-Length: 0
Accept-Ranges: none
DASL: <DAV:sql>
DAV: 1, 2
Public: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, POST, COPY, MOVE, MKCOL, PROPFIND, PROPPATCH, LOCK, UNLOCK, SEARCH
Allow: OPTIONS, TRACE, GET, HEAD, DELETE, COPY, MOVE, PROPFIND, PROPPATCH, SEARCH, MKCOL, LOCK, UNLOCK
Cache-Control: private

若出现PUT、DELETE….等方法，则存在此风险。

5、修复方案

如tomcat，配置web.xml

<security-constraint>
<web-resource-collection>
<web-resource-name>fortune</web-resource-name>
<url-pattern>/*</url-pattern>
<http-method>PUT</http-method>
<http-method>DELETE</http-method>
<http-method>HEAD</http-method>
<http-method>OPTIONS</http-method>
<http-method>TRACE</http-method>
</web-resource-collection>
<auth-constraint></auth-constraint>
</security-constraint>
<login-config>
<auth-method>BASIC</auth-method>
</login-config>

重启tomcat即可完成。

以上的代码添加到某一个应用中，也可以添加到tomcat的web.xml中，区别是添加到某一个应用只对某一个应用有效，如果添加到tomcat的web.xml中，

则对tomcat下所有的应用有效。

参考：

http://payloads.online/archivers/2018-04-18/1

https://www.cnblogs.com/qmfsun/p/6169641.html

web服务器启用了不安全的HTTP方法相关推荐

linux禁用options方法,WEB服务器启用OPTIONS方法汇总大全
HTTP方法是在Web服务器上启用.选择的方法提供了一个清单,由Web服务器支持的方法,这是一个关于通信选项的请求URI标识的请求/响应链信息的请求.危害: 选项方法可能会暴露敏感信息,可能有助于恶意 ...
虚拟主机搭建微信公众号服务器,建web服务器同时如何搭建虚拟主机？方法有几种？...
所说的虚拟主机就是在一台服务器里运作几个网站,提供WEB.Mail.FTP等服务.那么在搭建wed服务器的同时,那么如何在[url=http://www.iisp.com/ztview/F_qgc5. ...
LiteSpeed Web服务器“恢复所有侦听器”解决方法
I am using LiteSpeed Web Server. It works great when used with the LiteSpeed Cache WordPress plugin. ...
通过options探测服务器信息,WEB服务器启用了OPTIONS方法
漏洞描述攻击者可利用options方法获取服务器的信息,进而准备进一步攻击. 解决方案: 修改配置文件禁用options方法: windows2008.windows2012,请在wwwroot目录 ...
[轻微]WEB服务器启用了OPTIONS方法/如何禁止DELETE，PUT，OPTIONS等协议访问应用程序/tomcat下禁用不安全的http方法...
使用了360网站安全检测查到有OPTIONS方法百度了下 https://my.oschina.net/maliang0130/blog/338725 找到这个方法奈何http.conf 找不到无 ...
Windows2003工组环境通过CA证书对加密WEB服务器
<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" /> 一.实验需 ...
HTTP的WEB服务器做了些什么？
Web服务器的实现 Web 服务器实现了 HTTP 和相关的 TCP 连接处理. 负责管理 Web 服务器提供的资源, 以及对 Web 服务器的配置. 控制及扩展方面的管理. Web 服务器逻辑实现了 ...
怎样在win10上搭建自己的web服务器（详细）
有搭建自己web服务器想法的小伙伴们,实现方法全放这里了. 1.控制面版-程序-启用或关闭Windows功能-Internet information services的内容全部打钩. 2.打钩后. ...
HTTP权威指南记录 ---- Web服务器
Web服务器 Web服务器的实现 Web服务器会对HTTP请求进行处理并提供响应.术语"Web服务器"可以用来表示Web服务器的软件,也可以用来表示提供Web页面的特定设备或计算机 ...

web服务器启用了不安全的HTTP方法

web服务器启用了不安全的HTTP方法相关推荐

最新文章

热门文章