Appscan漏洞：“启用了 TRACE 和 TRACK HTTP 方法”漏洞过程复现

在用Appscan扫描网站应用时出现了“启用了 TRACE 和 TRACK HTTP 方法”的漏洞，按照以往的方式都是整改后直接二次扫描验证就行了，但是这次因为个别原因导致通过工具进行二次验证，而且这个任务时间有限，只能通过手工验证的方式，这是第一次通过手工验证的方式去验证，一是不知道怎么去操作，二是不知道操作的到底对不对，无奈只能求助大佬，这里要特别感谢彭老师（追忆）
在说清问题后发了一张图，从上面的整个过程才了解到这个手工验证的方式并不是什么太难的事情，接下来就说说整个验证过程。
在Appscan的扫描结果中也可以看到工具在进行测试时使用的请求方式，也是将GET方法替换为TRACE方法去进行尝试的，只不过在工具中除了修改为了TRACE方法而且还增加了一个script脚本用来在浏览器中做显示，实际上我们在验证时可以只修改方法就可以了


接下来就是用人工的方式将上面的过程重放一次，这里使用burpsuite进行，其他工具也可以，只要可以做到抓包改包的都没问题！首先启动burp，代理后截获数据包，将截获到的数据包发送到Repeater中，可以看到在不修改这个问题时通过TRACE请求发送后，响应数据为正常数据

在将此问题修复后，再次发送数据， 此时可以看到提示已经不允许TRACE方法的请求了

关于开启TRACE方法的危害
TRACE方法是HTTP（超文本传输）协议定义的一种协议调试方法，该方法使得服务器原样返回任何客户端请求的内容。
启用TRACE方法存在如下风险：
1、恶意攻击者可以通过TRACE方法返回的信息了解到网站前端的某些信息，如缓存服务器等，从而为进一步的攻击提供便利。
2、恶意攻击者可以通过TRACE方法进行XSS攻击。
3、即使网站对关键页面启用了HttpOnly头标记和禁止脚本读取cookie信息，但是通过TRACE 方法恶意攻击者还是可以绕过这个限制读取到cookie信息。