进行“360网站安全检测”时发现其有一项轻重漏洞提示:“[轻微]发现服务器启用了TRACEMethod”
360也提供了漏洞修复的解决方案
1)2.0.55以上版本的Apache服务器,可以在httpd.conf的尾部添加:
TraceEnableoff
2)如果你使用的是Apache:
-确认rewrite模块激活(httpd.conf,下面一行前面没有#):
LoadModulerewrite_modulemodules/mod_rewrite.so
-在各虚拟主机的配置文件里添加如下语句:
RewriteEngineOn
RewriteCond%{REQUEST_METHOD}^TRACE
RewriteRule.*-[F]
注:可以在httpd.conf里搜索VirtualHost确定虚拟主机的配置文件。
但是我同时查阅了Apache官网对TraceEnable参数(控制是否启用Tracemethod的Apache配置选项)的描述。在Apache2.4(现在主流的应该还是2.2版)的文档中增加了下面的说明:
Despiteclaimstothecontrary,TRACEisnotasecurityvulnerabilityandthereisnoviablereasonforittobedisabled.Doingsonecessarilymakesyourservernon-compliant.
翻译过来就是:
虽然有很多声明与此相反,TRACE并不是一个安全漏洞,并且也没有可行的理由来禁用它。这样做必然使你的服务器兼容性变差。
所以我决定遵照Apache的提醒继续保持TraceEnable参数为默认的on状态,使TraceMethod可用。