最近掃瞄專案所在的伺服器發現乙個漏洞，名稱叫「遠端www服務支援trace請求」，提供的解決辦法沒多大用處，只說是「管理員應禁用www服務對trace請求的支援」，但具體怎樣做不太清楚，上網搜了一下，利用apache伺服器的rewrite功能，對trace請求進行攔截，以下是解決辦法。
詳細描述
遠端www服務支援trace請求。rfc 2616介紹了trace請求，該請求典型地用於測試http協議實現。攻擊者利用trace請求，結合其它瀏覽器端漏洞，有可能進行跨站指令碼攻擊，獲取敏感資訊，比如cookie中的認證資訊，這些敏感資訊將被用於其它型別的攻擊。
解決辦法
管理員應禁用www服務對trace請求的支援。
iisurlscan
apache
source code modification
mod_rewrite module
rewriteengine on
rewritecond ^(trace|track)
rewriterule .* - [f]
步驟：1、停止apache服務（以root許可權登入）
修改配置檔案：
解決該問題的方法十分簡單，只需通過一條簡單的配置檔案命令即可開啟基於網域名稱的虛擬主機了。我的vps使用的是centos 6.0，在預設的apache配置檔案中的虛擬主機配置節點上面會包含如下基於網域名稱的虛擬主機配置檔案。如下所示。
## use name-based virtual hosting.
## namevirtualhost :80
## note: namevirtualhost cannot be used without a port specifier
# (e.g. :80) if mod_ssl is being used, due to the nature of the
# ssl protocol.
#注意namevirtualhost :80這一段，預設情況下是被注釋掉的，我們仍然拿上面的那個配置作為例子。假如我們希望將***.com和yyy.com同時指向192.168.0.1這個ip位址的話，就需要修改該配置檔案。修改好的該片段如下所示。
## use name-based virtual hosting.
#namevirtualhost 192.168.0.1:80
## note: namevirtualhost cannot be used without a port specifier
# (e.g. :80) if mod_ssl is being used, due to the nature of the
# ssl protocol.
#這樣就在此ip上開啟了基於網域名稱的虛擬主機。需要注意的是，基於網域名稱的虛擬主機必須指定埠號，如:80等，否則無法正常訪問。
2、修改httpd.conf檔案
編輯httpd.conf檔案
# 首先，啟用rewrite模組(去掉符號#)
loadmodule rewrite_module modules/mod_rewrite.so
# 啟用rewrite引擎
rewriteengine on
# 對request中的method欄位進行匹配：^trace 即以trace字串開頭
rewritecond % ^trace
# 定義規則：對於所有格式的**請求，均返回[f]-forbidden響應
rewriterule .* - [f]
對於2.0.55以上版本的apache伺服器，有一種更簡單的辦法：
traceenable off
3、啟動apache服務（以root許可權登入）
測試：ping ip
tracert ip
vi 到檔案末尾命令 :$
vi到檔案頭 :1
遠端WWW服務支援TRACE請求
最近掃瞄專案所在的伺服器發現乙個漏洞，名稱叫 遠端www服務支援trace請求 提供的解決辦法沒多大用處，只說是 管理員應禁用www服務對trace請求的支援 但具體怎樣做不太清楚，上網搜了一下，利用apache伺服器的rewrite功能，對trace請求進行攔截，以下是解決辦法。詳細描述 遠端ww...
遠端WWW服務支援TRACE請求漏洞
最近掃瞄專案所在的伺服器發現乙個漏洞，名稱叫 遠端www服務支援trace請求 提供的解決辦法沒多大用處，只說是 管理員應禁用www服務對trace請求的支援 但具體怎樣做不太清楚，上網搜了一下，利用apache伺服器的rewrite功能，對trace請求進行攔截，以下是解決辦法。詳細描述 遠端ww...
遮蔽遠端WWW服務支援TRACE請求 有效
1.2.0.55以上版本的apache伺服器，可以在httpd.conf的尾部新增 traceenable off 2.其它版本的apache伺服器可編輯httpd.conf檔案 啟用rewrite模組 去掉符號 loadmodule rewrite module modules mod rewri...