Appscan漏洞之Authentication Bypass Using HTTP Verb Tampering

1. Authentication Bypass Using HTTP Verb Tampering

1.1、攻击原理

　　不安全的HTTP方法PUT/DELETE/MOVE/COPY/TRACE/PROPFIND/PROPPATCH/MKCOL/LOCK/UNLOCK允许攻击者修改web服务器文件、删除web页面、甚至上传web shell获取用户的身份信息等，它们都有可能制造出严重的安全漏洞，开发人员需要对HTTP请求类型进行控制，防止服务器资源被非授权篡改。

1.2、案例分析

　　APPSCAN用无意义的HTTP动词bogus向服务端发起请求，系统正常返回，显示此系统未对http请求类型进行判断限制，存在HTTP动词篡改漏洞。

BOGUS /fams/admin/j_security_check HTTP/1.1
Accept-Language: en-US
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Referer: http://xxx-core-stg1.paic.com.cn/fams/
Host: xxx-core-stg1.paic.com.cn
User-Agent: Mozilla/4.0 (compatible; MSIE 9.0; Win32) 
HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
Content-Type: text/html;charset=utf-8
Content-Length: 477
Date: Wed, 14 Mar 2018 01:56:23 GMT

1.3、防御建议

　　1. 限制http method，如仅允许GET、POST等类型

　　2. 使用J2EE标准中提供的Filter方法进行请求类型过滤

　　3. 检查tomcat的web.xml，weblogic的weblogic.xml配置，对请求类型进行限制,如：