修复HTTP动词篡改导致的认证旁路问题的方法

本文于2016年4月完成，发布在个人博客网站上。

---

诡异的问题

分析AppScan扫描报告的时候，发现报告里提示“HTTP动词篡改导致的认证旁路”，一个名字很长，很怪异的问题。咨询度娘没有获取到必要的信息，于是只好按照AppScan报告里给出的重现步骤，实地操作来看看。

AppScan给出的复现步骤很简单，如下：

1. 使用burpsuite拦截浏览器发出的HTTP请求，如下为样例：

    GET /index.jsp HTTP/1.1
    Host: 127.0.0.1:8080
    Cache-Control: max-age=0
    Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
    Upgrade-Insecure-Requests: 1
    User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36
    Accept-Encoding: gzip, deflate, sdch
    Accept-Language: zh-CN,zh;q=0.8
    Connection: close
   

2. 修改HTTP方法，比如把GET修改为BOGUS，然后点击Forward，把请求转发给Web服务器。

    BOGUS /index.jsp HTTP/1.1
    Host: 127.0.0.1:8080
    Cache-Control: max-age=0
    Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
    Upgrade-Insecure-Requests: 1
    User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/48.0.2564.116 Safari/537.36
    Accept-Encoding: gzip, deflate, sdch
    Accept-Language: zh-CN,zh;q=0.8
    Connection: close
   

3. 令人大跌眼镜的事情发生了，Web服务器居然返回了HTTP 200，同时正确的返回了页面；

顿时让人有点小郁闷。按照产品线要求，当前所在项目使用的是平台部门基于Apache Tomcat 7.0.x源码做过加固的版本，按理说不该存在类似的安全问题。

对照Tomcat加固要求，重新检查了$CATALINA_BASE/conf/web.xml，确认其中包含了如下配置，这说明已经屏蔽了不安全的HTTP方法，应该是没有问题才对。

<security-constraint>
    <web-resource-collection>
        <http-method>HEAD</http-method>
        <http-method>PUT</http-method>
        <http-method>DELETE</http-method>
        <http-method>OPTIONS</http-method>
        <http-method>TRACE</http-method>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>