اموزش پتچ کردن مشکل امنیتی HTTP TRACE Method

بسیاری از اسکنر های امنیتی مانند Nessus یک مشکل امنیتی به نام HTTP TRACE Method را در وب سرور شناسایی کرده و به عنوان تهدید امنیتی سطح پایین گزارش می کنند.

به صورت پیش فرض بر روی سرور شما فعال است اما اگر میخواهید از فعال بودن آن مطمئن شوید فقط کافیست به پورتی که وب سرور روی آن سرویس میدهد Telnet کنید و اگر پاسخ مثبت بگیرید پس بر روی سرور شما فعال است.

telnet 127.0.0.1 80
Trying 127.0.0.1… Connected to 127.0.0.1.
Escape character is ‘^]’.
TRACE / HTTP/1.0 Host: foo Any text entered here will be echoed back in the response <- ENTER twice to finish HTTP/1.1 200 OK
Date: Wed, 10 Sep 2009 22:19:36 GMT
Server: Apache/2.2.6 (Debian) PHP/4.4.4-9 mod_ruby/1.2.6 Ruby/1.8.6(2007-06-07)
Connection: close
Content-Type: message/http TRACE / HTTP/1.0
Host: foo Any text entered here will be echoed back in the response Connection closed by foreign host.

میتوان این مشکل را با استفاده از Rewrite Rules حل کرد.

RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^TRACE
RewriteRule .* – [F]

خوب استفاده از روش بالا ملزم به فعال کردن mod_rewrite بر روی سرور می باشد اما برای ورژن های بالاتر از apache 1.3.34 و apache2 2.0.55 میتوانید به آسانی با استفاده از کد زیر این مشکل را حل کنید. (به فایل کانفیگ اضافه کنید).

TraceEnable off

اضافه کردن کد بالا، آپاچی پیغام خطای ۴۰۴ را نمایش می دهد. نتیجه:

 

telnet 127.0.0.1 80
Trying 127.0.0.1… Connected to 127.0.0.1.
Escape character is ‘^]’.
TRACE / HTTP/1.0 Host: foo testing… <- ENTER twice HTTP/1.1 403 Forbidden
Date: Wed, 20 Sep 2009 22:28:31 GMT
Server: Apache/2.2.6 (Debian) PHP/4.4.4-9 mod_ruby/1.2.6 Ruby/1.8.6(2007-06-07)
Content-Length: 320 Connection: close
Content-Type: text/html;
charset=iso-8859-1
<!DOCTYPE HTML(link) PUBLIC “-//IETF//DTD HTML(link) 2.0//EN”>
<html>
<head>
<title>403 Forbidden</title>
</head>
<body>
<h1>Forbidden</h1>
<p>You don’t have permission to access / on this server.</p>
<hr> <address>Apache/2.2.6 (Debian) PHP/4.4.4-9 mod_ruby/1.2.6 Ruby/1.8.6(2007-06-07) Server at foo Port 80</address>
</body>
</html>
Connection closed by foreign host.

Byla tato odpověď nápomocná?

 Tisknout tento článek

Také čtěte

امنیت سیستم ها

امروزه ارزیابی امنیتی سیستم های اطلاعاتی بر طبق نیازهای تجاری از جمله اجرای جدا ناپذیر استراتژی...

امنیت و تجارت الکترونیکی

اطلاعات در سازمانها، مؤسسات پیشرفته و جوامع علمی، شاهرگ حیاتی محسوب می گردد. گر چه بحث دسترسی...

تاریخچه امنیت اطلاعات

براي اینکه نگاهی به تاریخچه امنیت اطلاعات داشته باشیم بد نیست به دوره ظهور یکی از نخستین ماشین...

تمهيداتي براي مديران شبكه ها

مديران شبكه (Adminstrators) براي مقابله با نفوذ اين كرم به درون سيستمها و خنثي كردن آن بهتر است...

رویکردی عملی به امنیت شبکه لایه بندی شده

امروزه امنیت شبکه یک مسأله مهم برای ادارات و شرکتهای دولتی و سازمان های کوچک و بزرگ است. تهدیدهای...