در حال بارگذاری...
تست دستکاری متدهای HTTP برای دور زدن مکانیزم‌های کنترل دسترسی و فیلترهای امنیتی.
اهداف این درس
HTTP Verb Tampering تکنیکی است که در آن مهاجم از متدهای مختلف HTTP برای دور زدن مکانیزم‌های امنیتی استفاده می‌کند.
| متد | هدف | خطر |
|---|---|---|
| GET | دریافت داده | پایین |
| POST | ارسال داده | متوسط |
| PUT | به‌روزرسانی کامل | بالا |
| DELETE | حذف داده | بالا |
| PATCH | به‌روزرسانی جزئی | متوسط |
| OPTIONS | دریافت متدهای مجاز | متوسط |
| HEAD | دریافت فقط headers | پایین |
| TRACE | آینه درخواست | بالا |
1curl -X OPTIONS -i https://target.com/api/resource2curl -v -X OPTIONS https://target.com/api/resource 2>&1 | grep -i 'allow'1curl -X PUT -d 'data=test' https://target.com/api/resource2curl -X DELETE https://target.com/api/resource/13curl -X PATCH -d 'data=test' https://target.com/api/resource4curl -X TRACE https://target.com/فیلترهایی که فقط متدهای GET و POST را بررسی می‌کنند آسیب‌پذیر هستند.
متد OPTIONS اطلاعاتی درباره متدهای مجاز سرور فاش می‌کند.
متد TRACE می‌تواند برای حملات XST استفاده شود.
کدام متد HTTP اطلاعاتی درباره متدهای مجاز سرور فاش می‌کند؟
HTTP Verb Tampering چیست؟
تکنیکی است که در آن مهاجم از متدهای غیرمنتظره HTTP برای دور زدن فیلترهای امنیتی استفاده می‌کند.
چرا متد OPTIONS خطرناک است؟
متد OPTIONS لیست متدهای HTTP مجاز توسط سرور را برمی‌گرداند.