一般に書き込み可能なディレクトリ

high Web App Scanning プラグイン ID 98099

Language:

概要

一般に書き込み可能なディレクトリ

説明

ファイルを Web サーバーにアップロードするメソッドはいくつもあります。使用できるメソッドの 1 つは、HTT Pの「PUT」メソッドです。「PUT」メソッドは主にアプリケーションの開発中に使用され、開発者は Web ルート内のサーバーにファイルをアップロード (または配置) できるようになります。

設計の性質上、通常、「PUT」メソッドにはフィルタリング機能がないため、サーバー側の実行可能なコード (PHP、ASP など) をサーバーにアップロードすることが可能です。

サイバー犯罪者は、既存のページを改ざんしたり、Web シェルをアップロードしてサーバーをコントロールしたりしようとして、「PUT」メソッドをサポートしているサーバーを検索します。

スキャナーが、影響を受けるパスによってクライアントが「PUT」メソッドを使用できるようになることを検出しました。このテスト中、スキャナーは Web ルート内のサーバー上でファイルを「PUT」し、その場所に対して「GET」リクエストを正常に実行し、コンテンツを検証しました。

ソリューション

可能であれば、HTTP の「PUT」メソッドをグローバルに無効化する必要があります。これは通常、サーバーの簡単な構成変更によって実施できます。「PUT」メソッドを無効にする手順は、使用しているサーバーのタイプ (IIS、Apache など) によって異なります。
REST スタイルの Web サービスなどのアプリケーション機能を満たすために「PUT」メソッドが必要な場合は、厳格な制限を実装して、安全な (SSL/TLS が有効になっている) クライアントと承認されたクライアントのみが「PUT」メソッドを使用できるようにする必要があります。
さらに、サーバーのファイルシステムの権限でも、厳格な制限を実施する必要があります。