WebSphere启用了TRACE，OPTIONS等不安全的HTTP方法漏洞修复

最新推荐文章于 2024-02-11 14:14:52 发布
最新推荐文章于 2024-02-11 14:14:52 发布
阅读量4.5k 收藏 15
点赞数 2
分类专栏： 安全 was 漏洞修复 文章标签： 安全 java http was websphere
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/LENGTH18/article/details/108270140
版权
本文分享了在WebSphere服务器上修复五个HTTP安全漏洞的过程，包括禁用TRACE和OPTIONS方法，防止HTTP Host头攻击，配置X-Frame-Options，及拦截不安全的HTTP请求方法。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

WebSphere启用了TRACE，OPTIONS等不安全的HTTP方法

因甲方要求项目必须基于was服务器运行，在基于was服务器的安全扫描时发现漏洞，由于对was服务器的不熟悉，并且相关was问题搜索结果甚少，导致修复5个漏洞耗时4天才得以修复，此帖子记录修复方式和踩过的坑。

安全扫描出的漏洞中其主要漏洞为未关闭http的不安全请求方式，基于现有系统只有get和post请求，下面方法除get和post方式请求其余全部拦截，主要方式通过拦截去获取当前请求方式，判断是否允许访问。

扫描出来漏洞为下面五个，其中测试人员已提供解决方案，但有些并不足以修复漏洞，详情请继续往下看
1.检测到目标服务器启用了TRACE方法（高危）
在这里插入图片描述
解决方式：
由于项目使用was服务器运行，本人使用截图中解决办法并未奏效，因was并不基于Apache运行，所以改了之后毫无用处，并且was中并未找到有类似的配置文件设置关闭方法，所以只能通过应用中代码设置拦截。

    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;
        //获取当前请求方式
        String str=((HttpServletRequest) req).getMethod();
        System.out.println("进入过滤器"+str);
        //判断当前请求方式是否为我允许访问的方式
        if (!str.equals(str.equals(HttpMethod.GET.toString()) && !str.equals(str.equals(HttpMethod.POST.toString())) {
            System.out.println("当前请求方式是"+str+"进行拦截,返回404");
            response.setStatus(404);
            return;
        }
        filterChain.doFilter(request, response);
    }

2.检测到目标服务器启用了OPTIONS方法（低危）
在这里插入图片描述
解决方式：
参考第1条漏洞

3.检测到目标URL存在http host头攻击漏洞（中危）
在这里插入图片描述
解决方式：
1.wes中自带请求头拦截功能，详情请见
https://wiki.smartbi.com.cn/pages/viewpage.action?pageId=47481406
2.通过拦截器方式配置白名单

    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;

        // 头攻击检测  过滤主机名
        String requestHost = request.getHeader("host");
        if (requestHost != null && !checkBlankList(requestHost)) {
            response.setStatus(403);
            return;
        }
        filterChain.doFilter(request, response);
    }

    //判断主机是否存在白名单中
    private boolean checkBlankList(String host){
        //todo 未来改域名需要同步修改
        //添加允许访问的地址（项目运行地址，非本地请求地址）
        if(host.contains("127.0.0.1")
        || host.contains("localhost")){
            return true;
        }
        return false;
    }

4.点击劫持：X-Frame-Options未配置（低危）
在这里插入图片描述
解决方式：

@Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;
        //漏洞X-Frame-Options未配置
        response.addHeader("x-frame-options","SAMEORIGIN");
        filterChain.doFilter(request, response);
    }

5.检测到目标URL启用了不安全的HTTP方法（低危）
在这里插入图片描述
解决方式：
参考第1条漏洞

五个漏洞整合（项目中的代码）
项目中web.xml中添加如下代码：

<web-app version="2.5"
		 xmlns="http://java.sun.com/xml/ns/javaee"
		 xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
		 xsi:schemaLocation="http://java.sun.com/xml/ns/javaee
    http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">

	<display-name>pms application</display-name>
	<session-config>
		<session-timeout>720</session-timeout>
	</session-config>
	<error-page>
		<error-code>404</error-code>
		<location>/error/404.html</location>
	</error-page>
	<error-page>
		<error-code>500</error-code>
		<location>/error/500.html</location>
	</error-page>

	<!--头攻击过滤-->
	<filter>
		<filter-name>HttpHostFilter</filter-name>
		<filter-class>
			cn.linkey.ws.server.HttpHostFilter
		</filter-class>
	</filter>
	<filter-mapping>
		<filter-name>HttpHostFilter</filter-name>
		<url-pattern>/*</url-pattern>
		<dispatcher>REQUEST</dispatcher>
		<dispatcher>FORWARD</dispatcher>
	</filter-mapping>

</web-app>

新建过滤器类代码为：

import javax.servlet.*;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

@SuppressWarnings("serial")
public class HttpHostFilter  extends HttpServlet implements Filter {
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {

    }

    @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) req;
        HttpServletResponse response = (HttpServletResponse) res;
        //漏洞X-Frame-Options未配置
        response.addHeader("x-frame-options","SAMEORIGIN");
        String str=((HttpServletRequest) req).getMethod();
        //判断当前请求方式是否为我允许访问的方式
        if (!str.equals(str.equals(HttpMethod.GET.toString()) && !str.equals(str.equals(HttpMethod.POST.toString())) {            System.out.println("当前方式是"+str+"进行拦截,返回404");
            response.setStatus(404);
            return;
        }
        // 头攻击检测  过滤主机名
        String requestHost = request.getHeader("host");
        if (requestHost != null && !checkBlankList(requestHost)) {
            response.setStatus(403);
            return;
        }
        filterChain.doFilter(request, response);
    }

    //判断主机是否存在白名单中
    private boolean checkBlankList(String host){
        //todo 未来改域名需要同步修改
        //添加允许访问的地址（项目运行地址，非本地请求地址）
        if(host.contains("127.0.0.1")
        || host.contains("localhost")
        ){
            return true;
        }
        return false;
    }
}

扩展
1、http的请求方式有
在这里插入图片描述
2.修复第一个漏洞如是apache服务器可执行如下操作，亲测本地可行：

linux具体操作如下： 找到服务器配置文件
/etc/httpd/conf/httpd.conf
在文件最后一行加上 TraceEnable off
如果不行的话在 vhost.conf 也加上以上的指令,重启apache
/etc/init.d/httpd restart
或是在httpd.conf里面每一个visual host里面加以下的module(RrwriteEngine需要compiler)
RewriteEngine on RewriteCond %{REQUEST_METHOD}^(TRACE|TRACK) RewriteRule .* – [F]
这一点比较复杂visual host都加上…重启
/etc/init.d/httpd restart 稍后生效

3.拦截http请求，修复第一、二、五漏洞，在web.xml中配置如下代码：
此方法本地测试和tomcat测试可行，was服务器中不生效，如用was建议使用拦截器方式解决。
此代码配置在应用中表示当前应用有效，配置在tomcat的web.xml中表示在tomcat下运行的项目都有效

<web-app version="2.5"
		 xmlns="http://java.sun.com/xml/ns/javaee"
		 xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
		 xsi:schemaLocation="http://java.sun.com/xml/ns/javaee
    http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd">


	<!-- 关闭不安全的HTTP方法 -->
	<security-constraint>
		<web-resource-collection>
			<web-resource-name>test</web-resource-name>
			<url-pattern>/*</url-pattern>
			<http-method>PUT</http-method>
			<http-method>DELETE</http-method>
			<http-method>HEAD</http-method>
			<http-method>OPTIONS</http-method>
			<http-method>TRACE</http-method>
		</web-resource-collection>
		<auth-constraint>
		</auth-constraint>
	</security-constraint>
	<login-config>
		<auth-method>BASIC</auth-method>
	</login-config>
</web-app>

4.测试关闭http请求方式是否生效
telnet ip 端口
回车
TRACE / HTTP/1.1
两次回车会看到响应消息，如果不行多点几次或者根据情况查看原因
其他凡是请求可将头部换掉如
POST / HTTP/1.1
GET / HTTP/1.1
功能开启显示为
在这里插入图片描述

功能关闭显示为
在这里插入图片描述
本帖为个人备忘录

Web 应用程序报告： 启用了不安全的“OPTIONS”HTTP 方法 建议：禁用 WebDAV，或者禁止不需要的 HTTP 方法 spring boot
weixin_41147129的博客
09-24 5486
Web 应用程序报告 有一项叫做启用了不安全的“OPTIONS”HTTP 方法 然后他会建议 禁用WebDAV，或者禁止不需要的 HTTP 方法 WebDAV: Web-based Distributed Authoring and Versioning） 一种基于 HTTP 1.1协议的通信协议。它扩展了HTTP 1.1，在GET、POST、HEAD等几个HTTP标准方法以外添加了一些新的方法，使应用程序可对Web Server直接读写，并支持写文件锁定(Locking)及解锁(Unlock)，还可以支持
检测到目标URL存在http host头攻击漏洞
最新发布
ruanjian_kj的博客
04-12 1810
nginx 的 default_server 指令可以定义默认的 server 去处理一些没有匹配到 server_name 的请求，如果没有显式定义，则会选取第一个定义的 server 作为 default_server。若请求不是指定的url，一律返回403。
启用了不安全的“OPTIONS”HTTP方法 - OPTIONS *
akaiyijian001的博客
05-04 2522
方法，该方法被认为是危险的,部分漏扫工具会认为其用了WebDAV。通过源码debug，tomcat会对。通过构造请求进行源码debug。请求时，响应报文请求头。进行特殊处理，该实现在。
启用了不安全的http请求方法 OPTIONS
星语惜馨的博客
10-22 6019
tomcat配置： 在tomcat的web.xml中添加如下的代码后重启tomcat，注意添加后只对tomcat下的目录有效。参照所需禁用的http方法添加。 <security-constraint> <web-resource-collection> <url-pattern>/*</url-pattern> ...
启用了不安全的http方法漏洞
01-09
在web.xml文件中配置下面一段内容 /* PUT DELETE HEAD OPTIONS TRACE BASIC
AppScan扫描启用了不安全的“OPTIONS”HTTP 方法
liudoyang的博客
12-26 3916
**服务器禁止不需要的 HTTP 方法## ** 目前项目进行交付时，测试方给到一个安全检测报告。其中有一个问题是：启用了不安全的“OPTIONS”HTTP 方法。给到的建议是禁用 WebDAV，或者禁止不需要的 HTTP 方法。由于测试服务器是Tomcat，而线上服务器为websphere，在网上找了许多资源，始终都是Tomcat的解决办法。现在记录一下websphere解决问题思路，给使用we...
CVPR2019目标检测方法进展
weixin_36670529的博客
11-16 3846
目标检测是很多计算机视觉应用的基础，比如实例分割、人体关键点提取、人脸识别等，它结合了目标分类和定位两个任务。现代大多数目标检测器的框架是 two-stage，其中目标检测被定义为一个多任务学习问题：1）区分前景物体框与背景并为它们分配适当的类别标签；2）回归一组系数使得最大化检测框和目标框之间的交并比（IoU）或其它指标。最后，通过一个 NMS 过程移除冗余的边界框（对同一目标的重复检测）。本文...
websphere漏洞
01-08
### WebSphere 安全漏洞列表及修复方法 #### 反序列化漏洞 (CVE-2015-7450) 针对WebSphere反序列化的漏洞，其根本原因在于应用程序未能正确验证传入的数据流。当恶意用户发送特制的输入数据给易受攻击的应用程序时...
WebSphere6.1+IHS集群环境下的SSL配置方法.pdf
12-14
然后，确保 rewrite 模块被加载，并添加以下规则，以禁止不安全的 HTTP 方法： `RewriteCond %{REQUEST_METHOD} ^(TRACE|TRACK|OPTIONS|HEAD|PUT|DELETE|CONNECT) RewriteRule .* - [F]` 最后，将 AllowOverride ...
Web中间件常见安全漏洞
KHOST的博客
03-10 8655
第一章：IIS IIS 6 解析漏洞 IIS 7 解析漏洞 PUT任意文件写入 IIS短文件漏洞 HTTP.SYS远程代码执行 (MS15-034) RCE-CVE-2017-7269 第二章：Apache 未知扩展名解析漏洞 AddHandler导致的解析漏洞 ...
oracle异步IO之filesystemio_options参数初探
深蓝@黄炎龙
07-16 6130
原创作品，出自 “深蓝的blog” 博客，深蓝的blog： 异步IO之filesystemio_options参数   近日再跟一个老DBA聊天的时候，听说了一个关于异步IO的参数。于是带着些许的好奇，异步I/O也就意味着读写可同时进行。 于是回来查看了一下这个参数，实验了一下。   在未安装oracle的linux服务器查看 Last login: Fri Jun  5 16:09
安全测试-渗透测试-不安全的http方法问题及解决方案.doc
09-10
安全测试-渗透测试-不安全的http方法问题及解决方案.doc
正确修复：启用不安全的HTTP方法的方法-apache
hzjhss的博客
09-03 542
原文链接：https://blog.csdn.net/BoZhihouci/article/details/116942082。当重启apache服务之后，再次构造OPTIONS方法会出现403错误，这样问题就解决了吗？这样一来，当出现不存在的http方法时，apache也会打印如OPTIONS的作用一样的信息。怀着好奇的心思，恢复了apache默认配置，仍然是这个问题。重启服务之后再次验证,http方法果然减少，但还是有TRACE方法存在，再次测试,此时已全部解决，如有疑问，可以留言，我们继续讨论。
4.1.HTTP网络请求原理
深情小建
09-18 738
HTTP是一种应用层协议，它通过TCP实现了可靠的数据传输，能够保证数据的完整性、正确性，而TCP对于数据传输控制的优点也能够体现在HTTP上，使得HTTP的数据传输吞吐量、效率得到保证。对于移动开发来说，网络应用基本上都是C/S架构，也就是客户端/服务器架构。客户端通过向服务器发起特定的请求，服务器返回结果，客户端解析结果，再将结果展示在UI上。客户端与服务器的交互如下图： 详细的交互流程有
启用了不安全的HTTP方法
u013673367的专栏
08-20 2156
启用了不安全的HTTP方法   2012-09-12 18:09:17|  分类： IT技术 |  标签：curl  webdav  tomcat  安全测试  |举报|字号 订阅 安全风险：       可能会在Web 服务器上上载、修改或删除Web 页面、脚本和文件。 可能原因：       Web 服务器或应用程序服务器是以不安全的方式配置的。 修
不安全的 HTTP请求 漏洞原理以及修复方法
it知识分享 free for nothing..
02-11 4824
不安全的 HTTP请求 漏洞原理以及修复方法
服务器上启用了TRACE，OPTIONS || 缓慢的HTTP请求导致拒绝服务攻击 || IBM WebSphere/WebLogic文件读取漏洞绕过限制
大河向东流的博客
11-07 3691
服务器上启用了TRACE方法 || 服务器允许OPTIONS方法 || 缓慢的HTTP请求导致拒绝服务攻击 || IBM WebSphere/WebLogic文件读取漏洞绕过限制 1.修改Tomcat下的web.xml文件 &lt;security-constraint&gt; &lt;web-resource-collection&gt; &lt;http-method&gt;OP...
启用不安全的HTTP方法-正确修复方法-apache
薄炙厚词的博客
05-17 3511
apache、http——启用不安全的http方法修复方案 @Time : 2021/5/17 下午5:04 @Author : 开始编辑～ 说明 apache默认安装之后，会开启多个http方法, 网络上有好多个修复方式是通过过滤的形式进行限制，但是治标不治本 如果只使用过滤http方法进行限制会出现下列问题 使用过滤限制http请求方法的步骤 在httpd.conf配置文件中取消mod_rewrite.so模块的注释 #LoadModule rewrite_module modules/mod_r
[安全]检测出项目内的安全漏洞,如启用了不安全的HTTP方法,会话Cookie中缺少某某属性等
PerryHsu的博客
07-04 1870
目录 1.启用了不安全的HTTP方法 2.开启OPTIONS方法 3.错误页面Web应用服务器版本泄露 4.X-Frame-Options Header未配置 5.会话Cookie中缺少secure/HttpOnly属性 6.敏感目录 前段时间收到了第三方发过来的网站安全评估报告,发现我所管理的很多项目有各种漏洞,总结下来如下,做个笔记以便后续自己写项目时注意避免和修正,...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值