"遠端www服務支持TRACE請求"驗證及修復(apache,Jetty,Tomcat)

在服務器漏掃中經常遇到"遠端www服務支持TRACE請求"漏洞，綠盟掃描器所提供修復建議有不適用的情況。對已經處理過的不同應用禁用TRACE請求做一總結記錄。

首先漏洞驗證:

模擬trace請求,假設報漏洞的端口是8081:

curl -v -X TRACE -I localhost:8081

如果回顯為:

< HTTP/1.1 200 OK
HTTP/1.1 200 OK
< Content-Type: message/http
Content-Type: message/http

則該端口服務支持trace請求，漏洞存在。

如果回顯為:

< HTTP/1.1 403 Forbidden
< Content-Type: text/html; charset=iso-8859-1
或者回顯為
< HTTP/1.1 405 Method Not Allowed
< Content-Type: text/html; charset=iso-8859-1

則該漏洞不存在。

 

漏洞修復:

1.對於apache:
對於2.0.55以上版本的apache服務器，
在httpd.conf尾部添加如下指令后重啟apache即可:

TraceEnable off

 其它版本的Apache服務器可編輯httpd.conf文件：

激活rewrite模塊（去掉符號 # ）：

LoadModule rewrite_module modules/mod_rewrite.so

在各虛擬主機的配置文件里添加如下語句：
# 啟用 Rewrite 引擎

RewriteEngine On

# 對Request中的Method字段進行匹配：^TRACE 即以TRACE字符串開頭

RewriteCond %{REQUEST_METHOD} ^TRACE

# 定義規則：對於所有格式的來源請求，均返回[F]-Forbidden響應

RewriteRule .* - [F]

注：可以在httpd.conf里搜索VirtualHost確定虛擬主機的配置文件。

 

2.對於非內嵌tomcat：
直接修改tomcat根目錄conf目錄下的web.xml,
在文件末尾(</web-app>之前)添加如下代碼:

<security-constraint>
<web-resource-collection>
<url-pattern>/*</url-pattern>
<http-method>PUT</http-method>
<http-method>DELETE</http-method>
<http-method>HEAD</http-method>
<http-method>OPTIONS</http-method>
<http-method>TRACE</http-method>
</web-resource-collection>
<auth-constraint>
</auth-constraint>
</security-constraint>
<login-config>
<auth-method>BASIC</auth-method>
</login-config>

注:在tomcat的在server.xml中先允許TRACE請求，再在web.xml中禁用TRACE，以此禁用TRACE請求.

<Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" allowTrace="true"
               redirectPort="8443" />

 

3.對於spring boot內嵌tomcat:

配置TomcatConfig.java

import org.apache.catalina.Context;
import org.apache.tomcat.util.descriptor.web.SecurityCollection;
import org.apache.tomcat.util.descriptor.web.SecurityConstraint;
import org.springframework.boot.context.embedded.EmbeddedServletContainerFactory;
import org.springframework.boot.context.embedded.tomcat.TomcatContextCustomizer;
import org.springframework.boot.context.embedded.tomcat.TomcatEmbeddedServletContainerFactory;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class TomcatConfig {
    
    @Bean
    public EmbeddedServletContainerFactory servletContainer() {
        TomcatEmbeddedServletContainerFactory tomcatServletContainerFactory = new TomcatEmbeddedServletContainerFactory();
        tomcatServletContainerFactory.addContextCustomizers(new TomcatContextCustomizer(){
            @Override
            public void customize(Context context) {
                SecurityConstraint securityConstraint  = new SecurityConstraint();
                securityConstraint.setUserConstraint("CONFIDENTIAL");  
                SecurityCollection collection = new SecurityCollection();
                
                collection.addPattern("/*");  
                collection.addMethod("HEAD");  
                collection.addMethod("PUT");  
                collection.addMethod("DELETE");  
                collection.addMethod("OPTIONS");  
                collection.addMethod("TRACE");  
                collection.addMethod("COPY");  
                collection.addMethod("SEARCH");  
                collection.addMethod("PROPFIND");  
                securityConstraint .addCollection(collection);  
                context.addConstraint(securityConstraint );  
            }
        });
        
        //禁用TRACE請求
        tomcatServletContainerFactory.addConnectorCustomizers(connector -> {
            connector.setAllowTrace(true);
        });
        return tomcatServletContainerFactory;
    }
}

 

4.對於非內嵌式Jetty:

在jetty.xml中增加配置：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>NoTrace</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method>TRACE</http-method>
    </web-resource-collection>
    <auth-constraint></auth-constraint>
</security-constraint>

 

5.對於Springboot內嵌式Jetty:

由於這種情況沒有實際操作過，代碼參考其他博主。采用攔截器來過濾所有的trace請求->啟動類增加配置來實現，或者和內嵌式tomcat一樣直接添加Jetty配置類來實現也可以。

參考鏈接:https://blog.csdn.net/qq_33479841/article/details/109769790