trace方法引起的xss漏洞

HTTP定义了一组请求方法，以表明要对给定资源执行的操作。指示针对给定资源要执行的期望动作。 虽然他们也可以是名词, 但这些请求方法有时被称为HTTP动词. 每一个请求方法都实现了不同的语义。其中，TRACE方法沿着到目标资源的路径执行一个消息环回测试。

关于TRACE方法

客户端发起一个请求时，这个请求可能要穿过防火墙、代理、网关或其他一些应用程序。每个中间节点都可能会修改原始的 HTTP 请求。TRACE 方法允许客户端在 最终将请求发送给服务器时，看看它变成了什么样子。

TRACE 请求会在目的服务器端发起一个 环回 诊断。行程最后一站的服务器会弹回一条 TRACE 响应，并在响应主体中携带它收到的原始请求报文。这样客户端就可以查看在所有中间 HTTP 应用程序组成的请求 / 响应链上，原始报文是否，以及如何被毁坏或修改过。

测试用例

某应用程序服务端启用了TRACE方法，先看原始请求/响应数据，如下图所示：

响应主体中携带它收到的原始请求报文：

原始响应下会下载一个未知格式的文件。因此此例中需要除了需要在请求头中构造恶意脚本以外，同时篡改客户端解析类型和方式，将响应中的Content-Type:message/http，改为Content-Type:text/html，如下图：

从而使得客户端成功执行构造的脚本：

CST与XSS的联系和区别：

联系：CST是XSS的一种子类，也属于XSS跨站漏洞。

区别：浏览器请求的方式不一样，普通的XSS一般通过GET和POST方式在页面上输入攻击脚本实现，但是CST如果要在页面上输入，需要找到会通过TRACE发送的输入点，一般是自己构造攻击报文在TRACE方法中进行发送。

测试相关：

由于普通的XSS攻击报文可以通过GET或者POST被提交，而CST则要通过TRACE来提交，由于比较少用，目前还未搜索到有页面输入框可以使用TRACE提交的。因此对它的测试需要注意，攻击脚本中需要自己提供发送函数，比如使用XMLHttpRequest发送请求（当然普通的XSS攻击也需要覆盖用XMLHTTPRequest发送GET、POST请求）。

测试总结：对CST的测试只需要将普通XSS的攻击特征脚本放在HTTP的TRACE位置发送出去即可。

TRACE请求引起的反射型XSS漏洞 - 麦田里的守望者- - 博客园