允許的 HTTP 方法 (各目錄)
info Nessus Plugin ID 43111
語系：
概要
此外掛程式可判斷不同 CGI 目錄允許哪些 HTTP 方法。說明
透過呼叫 OPTIONS 方法，攻擊者可以判斷各個目錄允許哪些 HTTP 方法。下列 HTTP 方法被視為不安全：
PUT、DELETE、CONNECT、TRACE、HEAD
儘管在回應中沒有任何內文，許多架構和語言都將「HEAD」視為「GET」要求。如果針對「GET」要求設定安全性限制，以使只有「authenticatedUsers」可存取特定 servlet 或資源的 GET 要求，則「HEAD」版本會遭到繞過。使用者可以不經授權盲目提交任何有權限設定的 GET 要求。
由於此清單可能不完整，如果掃描原則中的「Thorough tests」已啟用或是「Enable web applications tests」設為「yes」，外掛程式還會測試各目錄上的多種已知 HTTP 方法，並在收到 400、403、405 或 501 等回應程式碼時將這些方法視為不受支援。
請注意，外掛程式輸出內容僅供參考，不一定表示存有安全性弱點。
解決方案
無另請參閱
http://www.nessus.org/u?d9c03a9a
http://www.nessus.org/u?b019cbdb
https://www.owasp.org/index.php/Test_HTTP_Methods_(OTG-CONFIG-006)
Plugin 詳細資訊
嚴重性: Info
ID: 43111
檔案名稱: web_directory_options.nasl
版本: 1.12
類型: remote
系列: Web Servers
已發布: 2009/12/10
已更新: 2022/4/11
組態: 啟用徹底檢查
支援的感應器: Nessus