HTTP方法TRACE被利用进行XST攻击防范_配置差异说明_安全审计必备_2024整理
HTTP方法的安全配置遵循最小权限原则，网站只开放业务必需的方法。绝大多数网站只需要GET（获取页面）和POST（提交表单），HEAD方法用于检查资源状态可以保留，其他方法如果没有明确的业务需求都应该禁用。这项配置改动小、效果明显，是网站安全加固中性价比最高的操作之一。
Nginx禁用危险HTTP方法的配置方式是在server块中添加if条件判断。推荐使用白名单方式：只允许GET、POST、HEAD方法，其他全部返回405。配置写法：if ($request_method !~ ^(GET|POST|HEAD)$) { return 405; }。这条规则会匹配所有非白名单内的方法，返回405 Method Not Allowed状态码。需要注意Nginx的if指令在某些情况下有性能问题，但用于方法判断影响很小，可以放心使用。
IIS禁用危险HTTP方法需要在web.config中配置。使用
OPTIONS方法的风险在于信息泄露。发送OPTIONS请求到服务器，响应头中的Allow字段会列出服务器支持的所有HTTP方法，攻击者可以通过这个信息判断服务器是否开启了WebDAV、是否支持PUT/DELETE方法，从而制定进一步的攻击方案。虽然OPTIONS方法本身不能直接造成危害，但它为攻击者提供了信息收集的便利。对于不需要CORS跨域的网站，完全可以禁用OPTIONS方法。
CONNECT方法用于建立隧道连接，通常只在代理服务器中使用。Web服务器如果支持CONNECT方法，可能被利用作为代理进行攻击或访问内网资源。绝大多数网站不需要CONNECT方法，应该禁用。此外还有PROPFIND、PROPPATCH、MKCOL、COPY、MOVE、LOCK、UNLOCK等WebDAV扩展方法，如果不使用WebDAV都应该一并禁用。
禁用HTTP方法后需要检查网站功能是否受影响。大部分网站只使用GET和POST，禁用其他方法不会有影响。但有一些特殊场景需要注意：使用CORS跨域的网站，浏览器会发送OPTIONS预检请求，这种情况下不能完全禁用OPTIONS，需要限制OPTIONS只在特定路径下允许。使用RESTful API的网站可能需要PUT和DELETE方法，需要根据API设计决定是否开放。CDN缓存可能使用HEAD请求，所以建议保留HEAD方法。
站长反馈：网站被安全扫描报出TRACE方法启用的低危漏洞，按照教程在Nginx配置中加了一行规则，重新扫描后漏洞消除，整个过程不到5分钟。后来测试了一下，OPTIONS也一起禁用了，网站功能没有任何影响。
安全提示：禁用HTTP危险方法只是安全加固的一项，不能替代其他安全措施。它能防止特定类型的攻击，但对于SQL注入、XSS、文件上传漏洞等没有防护效果。建议结合WAF、程序升级、权限加固等措施形成完整防护体系。
更新时间：2026-08-27 13:17:26
上一篇：Windows修改文件创建时间修改时间不用第三方工具也行｜日志文件时间校准原生Windows 7下xlsx文件时间戳调整