Tomcat启动了不安全的HTTP方法解决办法

一、漏洞描述：

目标服务器启用了不安全的传输方法，如PUT、TRACE、DELETE、MOVE等，这些方法表示可能在服务器上使用了 WebDAV，由于dav方法允许客户端操纵服务器上的文件，如上传、修改、删除相关文件等危险操作，如果没有合理配置dav，有可能允许未授权的用户对其进行利用，修改服务器上的文件。

平时我们项目中基本上用的都是GET/POST请求方法，其他的方法是很少用到的，如PUT/DELETE/HEAD/OPTIONS/TRACE，不关闭这些HTTP请求方法，是常见的web漏洞之一。

二、解决办法

把他们关闭即可！！！

添加以下节点代码到web.xml配置文件当中。可以在项目WEB-INF/web.xml中添加，也可以在tomcat/conf/web.xml中添加:

<!-- close insecure http methods -->
<security-constraint>
    <web-resource-collection>
        <web-resource-name>fortune</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method>PUT</http-method>
        <http-method>DELETE</http-method>
        <http-method>HEAD</http-method>
        <http-method>OPTIONS</http-method>
        <http-method>TRACE</http-method>
    </web-resource-collection>
    <auth-constraint></auth-constraint>
</security-constraint>