緣故
今天早上客戶寄來一封資安檢測結果，說我們維護的Web系統有漏洞。
弱點大意是：Web Server 提供了 PUT, TRACE, DELETE, CONNECT 的 Http Method. 應該關閉。
並且把這項缺失列為中等風險，寫的很厲害的樣子。「PUT method 允許用戶端上傳檔案至伺服器, DELETE method 允許用戶端將伺服器的檔案刪除. 將允許遠端攻擊者可任意上傳檔案至伺服器而置換網頁, 若攻擊者上傳惡意程式到具有執行權限的目錄, 將可達到更大的破壞.」
過程
記得我們沒有開 WebDAV 啊！為什麼寫的這麼離譜？使用 Fiddler 查一下吧！
使用 Fiddler 的 Request Builder 查開發機 IIS
再選到 Inspectors，看查詢的 Request 及 Response (結果)
OPTIONS 會列出該 Web Server 可使用的 Http Method.
結果列出來，只有一項 TRACE 是有爭議的。根據 RFC 2616 指出，這是用來 Debug 用的 Method，可能揭露出不必要的資訊。因此會被列為風險。在 Apache 上更可能被偷取 cookie。
IIS
為什麼在IIS 上 TRACE 預設是可以使用的呢？再使用 Fiddler，這次使用 TRACE 查一下吧。
這次的結果是 HTTP/1.1 501 Not Implemented (未實作)。HttpStatus 500 以上代表伺服器錯誤。
雖然有開放 TRACE 這個 Method，但一律回未實作。這妙吧。
因此，沒有漏洞。
再使用 DELETE 查一下。結果是 405 Not allowed(不允許)。這證明 IIS 上的WebDAV 果然沒有開啟。
結論
一看到資安檢測結果時，雖然只有這一項目，還是心裡不舒服。
看來該資安廠商是使用工具掃出來的結果。雖然只有一個 TRACE 看來符合，但把整個 PUT, DELETE, TRACE, CONNECT 全部列上去，看來比較有「價值」。
另外， IIS 為什麼要列為可用的Method，然後再回應 501 未實作呢？這裡就不深究原因了。
沒有留言:
張貼留言