首页 > 代码库 > AppScan修复漏洞：启用不安全的HTTP方法
AppScan修复漏洞：启用不安全的HTTP方法
最近对于系统使用Appscan扫描出中危漏洞“启用不安全的HTTP方法，找了很多修复方法都不能达到效果。
漏洞截图：
漏洞描述：
危险级别 |
| |
影响页面 | 整个WEB页面。 | |
简短描述 | 管理员在服务器安全配置上的疏忽，导致服务器上启用了不安全的HTTP方法。 | |
详细描述 | 不安全的HTTP方法主要有PUT/DELETE/MOVE/COPY/TRACE,通过此类扩展方法，可能上传文件到服务器或删除服务器上的文件。 | |
修补建议 | 禁止不必要的 HTTP 方法（动词TRACE）。 | |
存在页面 | 整站 |
中危险
修复建议方案：
1、禁用WebDAV功能（IIS）
2、使用URLSCAN禁用OPTIONS和其他HTTP方法
执行步骤：
IIS 在扩展功能中禁用webdev功能，此功能可禁止危险动作如：DELETE- SEARCH- COPY- MOVE- PROPFIND- PROPPATCH- MKCOL- LOCK- UNLOCK- PUT。
安装URLscan工具，下载地址：http://www.iis.net/downloads/microsoft/urlscan
安装完成后，配置文件在路径：
C:\WINDOWS\system32\inetsrv\urlscan\UrlScan.ini
主要节点配置：
[options]
UseAllowVerbs=0 //禁用模式
[AllowVerbs] //禁用某些危险请求
DELETE
SEARCH
COPY
MOVE
PROPFIND
PROPPATCH
MKCOL
LOCK
UNLOCK
PUT
TRACE
上述配置中访问路径中包含中文字符则会异常，需修改节点：
AllowHighBitCharacters=1
说明：此选项设置为 0。如果将此选项设置为 0，则 URLScan 拒绝任何包含非 ASCII 字符的请求。这样可以防止某些类型的攻击，但同时可能也会禁止对某些合法文件的请求，如带有非英文名的文件。
配置文件修改完成，保存后重启iis，在cmd命令中输入：iisreset
重启完成，测试：
使用火狐插件 poster，选择options项，访问网站，即可看到打开页面异常。 至此修复完成。
此文章谨以此提供给还受Appscan扫描漏洞而找不到修复方案的同学们。
AppScan修复漏洞：启用不安全的HTTP方法