http IIS 方法配置的漏洞

Question

我有一个关于http IIS方法配置信息泄露的漏洞，为了解决这个问题，有人建议我禁用方法OPTIONS、TRACE和HEAD。自从在端口8080发现支持的方法：OPTIONS TRACE GET HEAD POST。我怎样才能解决这个漏洞而不影响服务器或应用程序，因为它正在运行。还有其他方案可以解决这个漏洞吗？

我正在尝试禁用这些方法，但他们告诉我，我必须确保这会在我申请之前解决问题，我不确定这是否是解决方案。我必须在其他服务器中进行测试。

Answer 1

禁用 HTTP 方法 OPTIONS、TRACE 和 HEAD 确实是减轻信息泄露漏洞的一个步骤。但必须在不影响生产环境的情况下对其进行测试，以确保它不会对服务器或应用程序的功能产生负面影响。

在进行任何更改之前，请确保您拥有当前服务器配置的备份。如果出现问题并且您需要恢复到之前的状态，这一点至关重要。

修改服务器配置以禁用 OPTIONS、TRACE 和 HEAD 方法。这通常可以在 IIS 配置文件中或通过 IIS 管理器完成。

<system.webServer>
   <security>
     <requestFiltering>
       <verbs>
         <remove verb="OPTIONS" />
         <remove verb="TRACE" />
         <remove verb="HEAD" />
       </verbs>
     </requestFiltering>
   </security>
</system.webServer>