웹 서비스 메소드 설정 공격 대비 보안취약 수정

서버상에서 수정되어야 하는 작업

PUT, DELETE, 등.... HTTP METHOD 를 이용하여 악성파일 (웹쉘) 업로드가 가능하다는 취약점이 있었다 ...

HTTP - METHOD 

HTTP 메소드  POST, GET, .... 등등 여러가지가 있다는걸 이제 알았네 ^^ ;;

GET, POST 빼고 나머지 것들은 다 막는 방법은 ?

WEB.XML 하단에 아래의 구문을 추가해 준다. 

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Forbidden</web-resource-name>
        <url-pattern>/*</url-pattern>
        <http-method>PUT</http-method>
        <http-method>DELETE</http-method>
        <http-method>HEAD</http-method>
        <http-method>TRACE</http-method>
        <http-method>OPTIONS</http-method>
    </web-resource-collection>
    <auth-constraint />
</security-constraint>

PUT, DELETE, HEAD, TRACE, OPTIONS 이런 ... HTTP 메소드 들을 막아준다.

확인은 ... curl -I -X DELETE localhost

해보면 ... HTTP/1.1 403 

이 나오게 된다 ...