Apache LimitExcept 仅适用于 GET 和 POST 方法

Question

我的 httpd.conf 文件中有当前配置。我正在尝试使用 HTTP 动词篡改来消除身份验证绕过漏洞。我只想允许某些 HTTP 请求 header ，下面示例中的 Get 和 Post，不同的 header 应该会引发错误。

DocumentRoot "c:/dev"
<Directory "C:/dev">
    Options Indexes FollowSymLinks MultiViews Includes
    AllowOverride Limit
    <LimitExcept GET POST>
      Order deny,allow
     Deny from all
    </LimitExcept>
    Order allow,deny
    Allow from all
</Directory>

此配置仍然允许其他 http 请求 header ，如 put、选项等。我正在使用 postman api 来测试我的更改。请帮忙!

Answer 1

这是限制 GET/POST/OPTIONS 的方法。注意:NIST Stigs V-26396 声明这不应应用于根目录，而应仅应用于其他目录，例如我的示例 (/etc/apache2/apache2.conf):

看来这也行得通:

<Location /var/www/>
        Order allow,deny
        Allow from all
        <LimitExcept POST GET>
           Deny from all
        </LimitExcept>
</Location>

<Location /usr/share/>
        Order allow,deny
        Allow from all
        <LimitExcept POST GET>
           Deny from all
        </LimitExcept>
</Location>

进一步阅读:

• > https://vaulted.io/library/disa-stigs-srgs/apache_22_server_for_unix_security_technical_implementation_guide/V-26396
• > http://httpd.apache.org/docs/current/mod/core.html#limitexcept