불필요한Method악용(Unnecessary HTTP Methods)

1

PUT 메소드를 사용하여 악성 파일(Server Side Script, 악성 스크립트 등) 생성 시도

1

DELETE 메소드를 사용하여 서버에 저장된 임의의 데이터 삭제 가능

1

TRACE 메소드를 사용하여 쿠키 탈취 가능 여부 확인

1
2
3

# WebDAV 모듈 비활성화
sudo a2dismod dav
sudo a2dismod dav_fs

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

<Directory "/var/www/html">
    Dav Off  # WebDAV 비활성화
    Options FollowSymLinks

    # PUT, DELETE 메소드 사용 금지
    <LimitExcept GET POST OPTIONS>
        Order Allow,Deny
        Deny from all
    </LimitExcept>
</Directory>

1
2

# /etc/apache2/apache2.conf 또는 httpd.conf
TraceEnable Off

1
2
3
4
5

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{REQUEST_METHOD} ^CONNECT
    RewriteRule .* - [F]
</IfModule>

1
2
3
4

location /dav/ {
    # dav_methods 지시어 제거
    # dav_methods PUT DELETE MKCOL COPY MOVE;
}

1
2
3
4
5
6
7

# Nginx 0.5.17 이후 버전은 기본적으로 TRACE 비활성화
# 명시적으로 설정하려면:
server {
    if ($request_method = TRACE) {
        return 405;
    }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

<!-- server.xml 또는 context.xml -->
<!-- webdav 서블릿 제거 또는 readonly 설정 -->
<servlet>
    <servlet-name>webdav</servlet-name>
    <servlet-class>org.apache.catalina.servlets.WebdavServlet</servlet-class>
    <init-param>
        <param-name>readonly</param-name>
        <param-value>true</param-value>  <!-- 쓰기 권한 제거 -->
    </init-param>
</servlet>

1
2
3
4
5

<!-- server.xml -->
<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="8443"
           allowTrace="false" />  <!-- 설정 제거 또는 false로 설정 -->

1
2
3
4

1. 레지스트리 편집기 열기
2. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters
3. 새 DWORD 값: DisableWebDAV = 1
4. IIS 재시작

1
2
3
4
5

1. IIS 관리자 실행
2. 요청 필터링 → HTTP 동사 → 동사 거부
3. TRACE 추가

또는 WebDAV 역할 서비스 비활성화

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

@Configuration
public class WebSecurityConfig {
    @Bean
    public FilterRegistrationBean<MethodFilter> methodFilter() {
        FilterRegistrationBean<MethodFilter> registration = new FilterRegistrationBean<>();
        registration.setFilter(new MethodFilter());
        registration.addUrlPatterns("/*");
        return registration;
    }
}

public class MethodFilter implements Filter {
    private static final Set<String> ALLOWED_METHODS =
        Set.of("GET", "POST", "HEAD", "OPTIONS");

    @Override
    public void doFilter(ServletRequest request, ServletResponse response,
                        FilterChain chain) throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        String method = req.getMethod();

        if (!ALLOWED_METHODS.contains(method)) {
            ((HttpServletResponse) response).sendError(
                HttpServletResponse.SC_METHOD_NOT_ALLOWED,
                "Method Not Allowed"
            );
            return;
        }

        chain.doFilter(request, response);
    }
}