關閉Apache上的Trace / Track 漏洞
作者:yoshie 日期:2009-12-11
字體大小: 小 中 大
剛剛跟法蘭克硬try 阿帕契漏洞
結果..終於結束了啊..原來是Nessus耍我們,真的是太雪特了啦...
要關閉Apache 上的 Trace/Track 其實也沒那 難,雖然沒有UrlScan但是有簡單的方法了啦
內容如下:
/etc/httpd/conf/httpd.conf
在以上的檔案最後一行加上 TraceEnable off
如果不行的話在 vhost.conf 也加上以上的指令,然後重啟apache
/etc/init.d/httpd restart
或是在httpd.conf裡面每個visual host裡面加以下的module (RrwriteEngine需要compiler)
RewriteEngine on
RewriteCond %{REQUEST_METHOD} ^(TRACE|TRACK)
RewriteRule .* - [F]
這個比較複雜一點,要每一個visual host都加上喔...然後也是重啟
/etc/init.d/httpd restart
假如使用以上的方式都沒辦法過nessus scan,可以用以下的方式try你的server
telnet localhost 80
TRACE / HTTP/1.0
Host: domain.com
A: test1
C: test2
回403 error 則TRACE已經關閉,Nessus掃錯了
200 ok 則還沒關好...那就大條了...只好....
