远端WWW服务支持TRACE请求 关于Web中间件TRACE请求漏洞复现测试方法

收到一个关于apache或者iis有关的TRACE漏洞，漏洞标题是远端WWW服务支持TRACE请求。详细的漏洞描述如下：

threatCategory:不必要的服务
solution:管理员应禁用WWW服务对TRACE请求的支持。
IIS
    URLScan
Apache
    Source Code Modification
    Mod_Rewrite Module
        RewriteEngine on
        RewriteCond {REQUEST_METHOD} ^(TRACE|TRACK)
        RewriteRule .* - [F]
description:远端WWW服务支持TRACE请求。RFC 2616介绍了TRACE请求，该请求典型地用于测试HTTP协议实现。攻击者利用TRACE请求，结合其它浏览器端漏洞，有可能进行跨站脚本攻击，获取敏感信息，比如cookie中的认证信息，这些敏感信息将被用于其它类型的攻击。

既然出现问题了，那就打不打整改吧。但是没有给出整改后测试的方法。只是给出来了整改方法，万一整改不完整，没生效怎么办呢 ？

网上搜索了一番，都是一些漏洞整改的方法，但是没有给出远端WWW服务支持TRACE请求漏洞测试方法。今天快盘小编就带你一起玩一下TRACE请求漏洞测试方法

首先声明，使用浏览器的调试工具F12没有办法发起TRACE请求，至少我没找到这个功能在哪里。只有使用强大的抓包工具Burp Suite了。这个工具会提供下载，虽然是破解版的，版本有些老，但是测试这个问题足够用了。

复现过程：

1、下载后直接打开burpsuite_free_v1.6.01.jar 启动该软件 

2、设置浏览器的代理功能。

3、设置BP的代理功能

这里要和浏览器的代理功能设置一样。

4、访问站点，BP会有提示，选择发送的repeater

5、看重放结果，漏洞浮现。

6、整改有继续测试。

整改方法：

1）2.0.55以上版本的
Apache
服务器，可以在httpd.conf的尾部添加：
TraceEnable off
2）如果你使用的是
Apache
：
- 确认rewrite模块激活（httpd.conf，下面一行前面没有#）：
LoadModule rewrite_module modules/mod_rewrite.so
- 在各虚拟主机的配置文件里添加如下语句：
RewriteEngine On
RewriteCond %{REQUEST_METHOD} ^TRACE
RewriteRule .* – [F]
注：可以在httpd.conf里搜索VirtualHost确定虚拟主机的配置文件。

再次测试

 远端WWW服务支持TRACE请求漏洞关闭。搞定。

扩展apache安全问题

既然搞了。就顺便把其他的banner和其他信息都隐藏了吧。

打开httpd.conf配置文件，最下边加上以下两行

ServerTokens Prod
ServerSignature Off

最后在说一下，我测试其他s站点了。都没截包重放成功。bp是怎么抓s站点的内容呢，也没去研究。牙疼，头疼。。怪不得现在谷歌和百度都在大力推行https呢。支持百度。