HTTP 불필요한 웹 메서드 차단 방법

HTTP 불필요(보안에 취약한) Web Method 차단 방법 입니다.

 

1. httpd.conf 파일에 설정

<Directory>

  <LimitExcept GET POST>

  Order allow,deny

  deny from all

  </LimitExcept>

 

 -> 근데 이 방법은 설정한 디렉터리에만 설정이 된다. 하위 디렉터리 마다 계속해서 설정해야하는 불편함이 있기에 대신에 아래와 같이 설정하면 하위까지 설정가능!

<Location />

  <LimitExcetp GET POST>

   Order deny, allow

   Deny from all

  </LimitExcept>

</Location>

 

2. web.xml

<security-constraint>

  <web-resource-collection>

   <web-resource-name>요긴랜덤 이름설정</web-resource-name>

   <url-pattern>/*</url-pattern>

   <http-method>PUT</http-method>

   <http-method>DELETE</http-method>

   <http-method>TRACE</http-method>

   <http-method>OPTIONS</http-method>

 </web-resource-collection>

 <auth-constraint>

   <roe-name></role-name>

 </auth-constraint>

</security-constraint>

 

-> 차단할 메소드들을 설정해서 넣어줍니다.

 

3. IIS

윈도우 레지스트리 편지기를 통해 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Service\3SVC\Parameters에서 다음의 레지스트리 값을 추가합니다.

 값 이름 : DisableWebDAV

 데이터 형식 : DWORD

 값 데이터 : 1

 

 

추가 :

Trace 메소드를 사용한 TRACE와 XST(Cross-site Tracing) 공격 :

https://itinformation.tistory.com/49