Ensure 'HTTP Trace Method' is disabled

Trung bìnhCấp 1Tự độngiis

Mô tả

The HTTP TRACE method returns the contents of client HTTP requests in the entity- body of the TRACE response. Attackers could leverage this behavior to access sensitive information, such as authentication data or cookies, contained in the HTTP headers of the request. One such way to mitigate this is by using the <verbs> element of the <requestFiltering> collection. A server-level request filtering verb rule must deny TRACE (allowed=false). PowerShell 5.1 with the WebAdministration module; run elevated. CIS marks this recommendation Manual; the automated check implements its audit procedure.

Cách kiểm tra

Phương pháp kiểm tra: Lệnh shell

shell

Import-Module WebAdministration -ErrorAction Stop; $t = @(Get-WebConfiguration -Filter 'system.webServer/security/requestFiltering/verbs/add' -PSPath 'MACHINE/WEBROOT/APPHOST' | Where-Object { $_.verb -eq 'TRACE' -and $_.allowed -eq $false }); if ($t.Count -gt 0) { 'compliant' } else { 'noncompliant' }

Đầu ra mong đợi: compliant

Cách khắc phục

Phương pháp khắc phục: Hướng dẫn hoặc bản vá hạ tầng

Add-WebConfigurationProperty -PSPath 'MACHINE/WEBROOT/APPHOST' -Filter system.webServer/security/requestFiltering/verbs -Name . -Value @{verb='TRACE';allowed='False'}

Thuộc tính

Hệ điều hành: Bất kỳ
Thẻ: iisrequest-filtering
Tham chiếu: CIS Microsoft IIS 10 Benchmark v1.2.1 - 4.6 Ensure 'HTTP Trace Method' is disabled

Kiểm tra máy này

Chạy lệnh này trên máy bạn được phép kiểm tra. Lần quét chỉ ở chế độ đọc.

shell

tmaegis scan --target iis