[웹서버 취약점]웹서비스 메소드 설정 취약점

GET,POST 메소드 이외의 PUT,DELETE, OPTIONS 등의 불필요한 메소드를 허용하였을 경우 공격자가 이를 이용하여 웹 서버에 파일을 생성하거나 삭제 및 수정이 가능한 취약점

 

해당 웹서버에서 어떤 메소드를 지원하는 지 확인하는 것 = OPTIONS 

                                                                                                                                                    ping은 ICMP 기능을 비활성화 하는데가 많아서 잘 못씀 

 

OPTIONS / HTTP/1.1

HOST : 192.168.197.160 

 

아파치 웹서버 환경설정 파일(httpd.conf)을 통한 메소드 제한 

<LimitExcept GET POST>

Order allow.deny               //deny 정책을 먼저 적용하고 그다음 allow

Deny from all

</LimitExcept>

제한할 디렉터리에 LimitExcept 지시자를 이용하여 메소드를 제한.

GET, POST 메소드를 제외한 모든 메소드에 대해서  거부