-
不安全的HTTP方法
0x01 漏洞描述
- 不安全的HTTP方法 -
不安全的 HTTP 方法一般包括：PUT、DELETE、COPY、MOVE、SEARCH、PROPFIND、TRACE 等。不合理的权限配置可能导致网站被攻击者非法入侵。
方法 描述 GET Get长度限制为1024，特别快，不安全，在URL里可见，URL提交参数以？分隔，多个参数用&连接，请求指定的页面信息，并返回实体主体 HEAD 类似于get请求，只不过返回的响应中没有具体的内容，用于获取报头 POST 长度一般无限制，由中间件限制，较慢，安全，URL里不可见，请求的参数在数据包的请求body中 OPTIONS 返回服务器针对特定资源所支持的HTTP请求方法。也可以利用向Web服务器发送’*'的请求来测试服务器的功能性 PUT 向指定的资源目录上传文件 DELETE 请求服务器删除指定的资源 COPY 将指定的资源复制到Destination消息头指定的位置 MOVE 将指定的资源移动到Destination消息头指定的位置 SEARCH 在一个目录路径中搜索资源 PROPFIND 获取与指定资源有关的信息，如作者、大小、与内容类型 TRACE 在响应中返回服务器收到的原始请求，主要用于测试或诊断 CONNECT HTTP/1.1协议中预留给能够将连接改为管道方式的代理服务器 0x02 漏洞验证
使用Burpsuite抓取网站数据包，修改请求包的方法为OPTIONS，响应包中出现PUT、DELETE、TRACE等不安全的 HTTP 方式。
0x03 漏洞修复
- 限制PUT、DELETE、SEARCH、COPY、MOVE、TRACE等危险的方法的访问权限。
- 如果不需要使用上述 HTTP 方法，应关闭不必要的方法，只留下GET、POST方法。
-
相关阅读:
瑞吉外卖项目 基于spring Boot+mybatis-plus开发 超详细笔记，有源码链接
//归并排序，递归方法
有来团队后台项目-解析5
国产数据库四十年磨一剑，达梦数据科创板上市
HTML CSS 个人网页设计 WEB前端大作业代码
el-dialog el-select适配移动端
聊一聊对“事务”的理解
关于CSDN右上角的消息数显示
聊聊自制的探索大全扑克牌
微信支付密码忘了怎么办
- 原文地址：https://blog.csdn.net/weixin_43571641/article/details/127641772
- 最新文章
-
沪漂五周年了：我越来越迷茫了
Agentic Skill Routing 实战：别再把所有 Skill 塞进 AI Agent 上下文
MySQL-Seconds_behind_master的精度误差
[MAF预定义ChatClient中间件-03]CachingChatClient——利用缓存省钱省时间
AI的至暗历史：从万众期待到被政府撤资，AI的两次死亡徘徊
Agent OS ：五种驯服不确定性的范式
PortSwigger SQL注入LAB11
数据库即时编译JIT
[Begin]AI Learn Data Day 0
深度学习进阶（二十七）现代 LLM 的核心架构设计其二：SwiGLU