[톰캣 웹서버]웹 취약점 - 불필요한 HTTP Method 설정

HTTP 메소드 확인 시, 웹 서버 운영에 불 필요한 PUT, DELETE 와 같은 메소드들이 확인이 되는데,

GET, POST 메소드만 허용하고 다른 메소드는 차단하는 것을 권장한다.

[HTTP 메소드 확인 방법]

1. 리눅스 사용시, nmap명령어를 사용하여 쉽게 확인 가능.

+ 윈도우 사용자라면, zenmap 프로그램을 사용하여 확인 할 수 있음.

2. https://www.askapache.com/online-tools/request-method-scanner/ <- 이 사이트를 통하여,

  직접 도메인 입력 후 HTTP 메소드를 확인이 가능함.

(조치 방법)

- 톰캣이 설치된 경로 하위의 conf - web.xml의 내용 수정.

예) PUT,DELETE,OPTIONS,TRACE,PATCH 메소드 제한하기

<web-app>

<security-constraint>

    <display-name>HTTP Method 비활성화</display-name>

    <web-resource-collection>

        <web-resource-name>Forbidden HTTP Method</web-resource-name>

        <url-pattern>/*</url-pattern>

        <http-method>PUT</http-method>

        <http-method>DELETE</http-method>

        <http-method>OPTIONS</http-method>

        <http-method>TRACE</http-method>

<http-method>PATCH</http-method>

    </web-resource-collection>

    <auth-constraint>

        <role-name></role-name>

    </auth-constraint>

</security-constraint>

</web-app>

<- web.xml 내용 수정후 서버 재시작.