[WEB] 불 필요한 Method 지원

 불 필요한 Method지원 

일반적으로 사용하는 HTTP의 메소드 중 GET, POST 메소드 이외의 웹 서버 내에 컨텐츠를 생성하는 PUT, 컨텐츠를 삭제하는 DELETE, 관리 및 디버깅에 사용되는 TRACE 등의 불필요한 메소드를 허용하는 취약점이다.

 

 

※ 실습

웹 프록시 도구를 사용해서 demo.testfire.net 사이트의 HTTP METHOD를 점검한 결과 GET, POST외에 다양한 메소드가 허용된것을 확인할 수 있다. 

 

▼

 

 

※ 대응 방안

 

 

아파치 - httpd.conf(제한할 메소드 정의)	톰캣 - web.xml
<Directory /home>     <Limit PUT DELETE OPTIONS>         Order allow,deny         Allow from all     </Limit> </Directory>	<security-constraint>     <web-resource-collection>     <web-resource-name></web-resource-name>     <url-pattern>/*</url-pattern>     <http-method>HEAD</http-method>     <http-method>DELETE</http-method>     <http-method>PUT</http-method>     <http-method>OPTIONS</http-method>     </web-resource-collection> </security-constraint>