51Testing软件测试论坛

 找回密码
 (注-册)加入51Testing

QQ登录

只需一步,快速开始

微信登录,快人一步

手机号码,快捷登录

查看: 1794|回复: 0
打印 上一主题 下一主题

【AppScan深入浅出】修复漏洞:启用不安全的HTTP方法

[复制链接]

该用户从未签到

跳转到指定楼层
1#
发表于 2019-2-12 14:39:13 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

最近一直刷新AppScan的下限,对于Appscan报出的中危漏洞“启用不安全的HTTP方法”。分析了其扫描机制,以及处理方法和绕开方法。如果不耐烦看分析过程,请直接跳到文章最后看处理方法。


漏洞背景

“启用了不安全的 HTTP 方法”属于“中”危漏洞。漏洞描述是:根据APPSCAN的报告,APPSCAN通过OPTIONS请求,当响应中发现DELETE、SEARCH、COPY等方法为允许方法时,则认为是漏洞。 详见下图:

Web服务器(以IIS为例)在没有任何设置是,使用OPTIONS命令,可以返回所有能够响应的HTTP方法,如OPTIONS, TRACE, GET, HEAD, COPY, PROPFIND, SEARCH, LOCK, UNLOCK。

发送OPTIONS请求:(使用telnet或者secureCRT等软件):

服务器响应可以使用的 HTTP 方法,见 Allow 部分。


实验环境

Web服务器环境:IIS6。站点结构如下,使用了主机头myapp.com指向了我的测试应用app。

配置只有读取权限,还有执行权限设置为“纯脚本”。


实验

实验1:裸实验

未启用WebDav,OPTIONS命令的返回中,只显示只有OPTION、TRACE、GET、HEAD和POST。

APPSCAN扫描结果也没有扫描出“启用了不安全的 HTTP 方法”这个漏洞。


实验2:开启WebDAV

启用WebDAV后,OPTIONS命令的返回中,显示多了很多新的HTTP方法,包括APPSCAN会认为是不安全的COPY、SEARCH、LOCK和UNLOCK等。

APPSCAN的扫描结果如下,扫描到了“启用了不安全的HTTP方法”这个漏洞。

结论:如果关闭WebDAV支持,APPSCAN则无法扫描出“启用了不安全的 HTTP 方法”漏洞。


实验3:URLScan正向实验

安装URLScan(URLScan是微软提供给IIS6的路径重定向工具,在这里下载),在URLScan.ini中配置,只允许GET、HEAD和POST这三个常用命令(UseAllowVerbs=1)。

运行OPTIONS命令,则服务器返回响应失败,无法列出所有的HTTP方法

APPSCAN扫描结果显示,禁用OPTIONS命令后无法扫描出“启用了不安全的 HTTP 方法”这个漏洞。


实验4:URLScan正向实验2

安装URLScan,在URLScan.ini中配置,只允许GET、HEAD、POST和OPTIONS命令。

由于URLScan的模式,要么设置允许命令,要么设置禁止命令,不能同时设置。因此允许这4个命令,表示不能禁用其他命令,因此OPTIONS会显示其他的可用命令。

由于APPSCAN默认是以OPTIONS命令来看漏洞的,因此自然本次扫描会有漏洞。


实验5:URLScan反向实验

在URLSCAN中,采用禁止模式(UseAllowVerbs=0),只禁止OPTIONS命令。

结果OPTIONS被禁用。


处理方法

回顾一下实验过程中的结论:

消除“启用了不安全的 HTTP 方法”漏洞,关键在于是否能够阻止OPTIONS命令。

如果禁止OPTIONS命令,但没有禁用其他危险命令如MOVE等,APPSCAN不会提示漏洞

如果禁止所有危险命令如MOVE等(实际调用出错),但是OPTIONS命令没有禁止并且显示这些危险命令可以使用,APPSCAN提示漏洞。

如果关闭WebDAV支持,APPSCAN则无法扫描出“启用了不安全的 HTTP 方法”漏洞。

因为不开启WebDAV,则不开启OPTIONS命令。


因此

王道方法是:禁用所有危险命令以及OPTIONS(OPTIONS命令并不危险,但不禁用是不行的)

邪道方法是:只禁用OPTIONS命令,其他危险命令APPSCAN是不会主动扫描,留着也不会报漏洞。但实际是不是有,这个就要具体分析了。


综上:解决“启用了不安全的 HTTP 方法”,可采用3种方法:

方法

描述

1

禁用WebDAV功能

根本解决。不引入新的不稳定因素URLSCAN

2

使用URLSCAN禁用OPTIONS

实际没有真正禁用,但缩小了影响范围。URLSCAN可能有副作用。

3

使用URLSCAN禁用OPTIONS和其他HTTP方法

或者只允许GET/POST/HEAD方法(自动禁用其他方法)

等效于取消WebDAV,但URLSCAN可能副作用。



本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?(注-册)加入51Testing

x
分享到:  QQ好友和群QQ好友和群 QQ空间QQ空间 腾讯微博腾讯微博 腾讯朋友腾讯朋友
收藏收藏
回复

使用道具 举报

本版积分规则

关闭

站长推荐上一条 /1 下一条

小黑屋|手机版|Archiver|51Testing软件测试网 ( 沪ICP备05003035号 关于我们

GMT+8, 2024-11-24 20:36 , Processed in 0.066447 second(s), 24 queries .

Powered by Discuz! X3.2

© 2001-2024 Comsenz Inc.

快速回复 返回顶部 返回列表