偵測

HTTP 動詞竄改

medium Web App Scanning Plugin ID 113211

語系：

概要

HTTP 動詞竄改

說明

HTTP 動詞竄改是一種可繞過以 HTTP 動詞為基礎的驗證或控制系統的攻擊。有時，Web 伺服器驗證機制會搭配存取控制使用動詞型驗證。此類安全性機制包含具有特定 HTTP 方法之要求的存取控制規則。由於 HTTP 規格包含標準 GET 和 POST 要求以外的要求方法，因此符合標準的 Web 伺服器可能會以開發人員未預期的方式回應這些替代方法。因此，如果應用程式僅限制 GET 要求，它仍有可能使用 POST、PUT、PATCH 或其他方法存取頁面。

解決方案

封鎖所有 HTTP 動詞，而非使用 HTTP 動詞封鎖清單。

另請參閱

https://owasp.org/www-project-web-security-testing-guide/v41/4-Web_Application_Security_Testing/07-Input_Validation_Testing/03-Testing_for_HTTP_Verb_Tampering

Plugin 詳細資訊

嚴重性: Medium

ID: 113211

類型: remote

已發布: 2022/3/31

已更新: 2024/6/10

掃描範本: api, basic, full, pci, scan

風險資訊

VPR

風險因素: Low

分數: 2.9

CVSS v2

風險因素: Medium

基本分數: 4

媒介: CVSS2#AV:N/AC:L/Au:S/C:P/I:N/A:N

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: Medium

基本分數: 4.3

媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

CVSS 評分資料來源: Tenable

弱點資訊

可輕鬆利用: Exploits are available

參考資訊