1、什么是不安全的HTTP方法
开发人员、运维人员一般可能用于调试服务器，开启了一些客户端能够直接读写服务器端文件的方法，例如：DELETE, PUT, COPY, MOVE, PROPFIND, PROPPATCH, SEARCH, LOCK, UNLOCK 等HTTP协议支持的方法。
2、安全风险
可能直接通过浏览器直接在Web服务器上上传、修改或删除Web页面、脚本和文件。
3、不安全的HTTP方法——原理
| 方法 | 说明 |
|---|---|
| PUT | 向指定的目录上载文件 |
| DELETE | 删除指定的资源 |
| COPY | 将指定的资源复制到Destination消息头指定的位置 |
| MOVE | 将指定的资源移动到Destination消息头指定的位置 |
| SEARCH | 在一个目录路径中搜索资源 |
| PROPFIND | 获取与指定资源有关的信息，如作者、大小与内容类型 |
| TRACE | 在响应中返回服务器收到的原始请求 |
服务器端由于配置权限不当，导致允许了客户端发送 DELETE, PUT, COPY, MOVE, PROPFIND, PROPPATCH, SEARCH, LOCK, UNLOCK等请求，并且解析请求进行操作文件。如果服务器必须要支持WebDAV，请务必禁用它或禁止不必要的HTTP方法。
4、测试步骤
使用CURL发送OPTIONS请求，查看响应头中的Allow行
命令：curl -I -X OPTIONS http://payloads.online
➜ ~ curl -I -X OPTIONS http://10.211.55.16/
HTTP/1.1 200 OK
Date: Wed, 18 Apr 2018 02:17:47 GMT
Server: Microsoft-IIS/6.0
MS-Author-Via: DAV
Content-Length: 0
Accept-Ranges: none
DASL: <DAV:sql>
DAV: 1, 2
Public: OPTIONS, TRACE, GET, HEAD, DELETE, PUT, POST, COPY, MOVE, MKCOL, PROPFIND, PROPPATCH, LOCK, UNLOCK, SEARCH
Allow: OPTIONS, TRACE, GET, HEAD, DELETE, COPY, MOVE, PROPFIND, PROPPATCH, SEARCH, MKCOL, LOCK, UNLOCK
Cache-Control: private
若出现PUT、DELETE….等方法，则存在此风险。
5、修复方案
如tomcat，配置web.xml
<security-constraint>
<web-resource-collection>
<web-resource-name>fortune</web-resource-name>
<url-pattern>/*</url-pattern>
<http-method>PUT</http-method>
<http-method>DELETE</http-method>
<http-method>HEAD</http-method>
<http-method>OPTIONS</http-method>
<http-method>TRACE</http-method>
</web-resource-collection>
<auth-constraint></auth-constraint>
</security-constraint>
<login-config>
<auth-method>BASIC</auth-method>
</login-config>重启tomcat即可完成。
以上的代码添加到某一个应用中，也可以添加到tomcat的web.xml中，区别是添加到某一个应用只对某一个应用有效，如果添加到tomcat的web.xml中，
则对tomcat下所有的应用有效。
参考：
文章浏览阅读1.6w次，点赞8次，收藏18次。已解决（selenium操作火狐浏览器报错）TypeError: __init__() got an unexpected keyword argument ‘firefox_options‘_typeerror: __init__() got an unexpected keyword argument 'chrome_options
文章浏览阅读315次。python实现代码# -*- coding: utf-8 -*-import mathdef get_average(records):"""平均值"""return sum(records) / len(records)def get_variance(records):"""方差 反映一个数据集的离散程度"""average = get_average(records)return sum(..._pycharm方差计算代码
文章浏览阅读902次。一、前提：cookie是保存在本地，用来记录用户信息，最典型的作用是判断用户是否已经登录。如果一个接口，需要用户登录后，才能进行操作，如下，修改用户信息那么这时候，就需要用到cookie去识别这个登录的用户，因为要修改的是这个登录的用户的信息。二、使用1、jmeter.properties 中 将CookieManager.save.cookies 设置为true。完成后重启jmet..._jmeter中post请求如何更改每次的用户名
文章浏览阅读7.5k次，点赞2次，收藏2次。虚拟环境的好处：搭建独立的python运行环境，不与其他产生冲突虚拟环境有助于包的管理和防止版本冲突3.删除卸载方便虚拟环境的搭建：1.进入python的Scripts下，执行：pip3 install virtualenv2.选择建立虚拟环境的文件夹，我这边是直接在D盘software下面创建了一个virtualenv，如图：image.png3.创建虚拟环境：virtualenv --no-s..._pycharm没有venv怎么办
文章浏览阅读2.3k次。--pod install时报错，且错误提示中有“ffi”字眼，提示错误：/Library/Ruby/Gems/2.6.0/gems/ffi-1.15.3/lib/ffi/library.rb:275: [BUG] Bus Error at 0x00000001042fc000 ruby 2.6.3p62 (2019-04-16 revision 67580) [universal.arm64e-darwin20]解决方案：juejin.cn/post/698064…--pod repo upd_oc cocospods 安装依赖库之后不能使用模拟器了
文章浏览阅读540次。工欲善其事必先利其器，趁手的工具会使我们开发事半功倍。市面上的编辑器我用过许多，编辑器使用经历Notepad++，（开源）这个应该是最轻量级的吧，查看代码还好，编辑代码就算了官网地址：https://notepad-plus-plus.org/Brackets，（开源）这个也不错，github-star：30k了，上次发布版本是6月..._vscode nextick
文章浏览阅读95次。前言：织梦程序是最知名的cms程序，使用广泛,但很多朋友对织梦还不太熟悉,通过工单分析得知,经常容易出现本文中的问题,本次统一整理出来,希望对新手朋友有帮助,本文写的非常详细,请仔细阅读,一、描述：“dedecms错误警告：连接数据库失败，可能数据库密码不对或数据库服务器出错”如图：分析：用织梦程序制作的站点做迁移服务器后容易出现这个问题,原因是程序中设置的数据库连接信息有误连接不到数据库,解决方..._西部数码支不支持织梦的程序
文章浏览阅读295次。上午在win7下安装MYSQL,只到“net start mysql”这一步报错:3534的错误：于是在百度中搜索关键字“mysql服务无法启动3534”。参考以下两个链接中的方法，解决了3534启动失败的问题：mysql服务无法启动3534错误。http://jingyan.baidu.com/article/219f4bf7e978fcde442d38a9.htmlhttp://blog.cs..._免安装mysql启动失败
文章浏览阅读5.1w次，点赞58次，收藏295次。最近在做项目和复习的时候，用了不少流程图软件给我帮了大忙，所以今天就来分享分享你在网上搜索一下流程图软件，能找到很多很多：但这些软件多数并不是专门绘制流程图的软件，它可能是一些思维导图软件、或者说一些产品交互原型图软件，使用时或多或少有些麻烦。而且，普遍这些软件缺点也很多，比如：只有在线版：ProcessOn（https://www.processon.com）导出功能收费：迅捷流程图软件体积庞大：VISIO就没有一款简单易用、绿色免费的流程图软件吗？阿虚花了不少时间，挨着_好用的流程图软件免费
文章浏览阅读1.4k次。cd /data/install_pkgwget https://github.com/azkaban/azkaban/archive/3.50.0.tar.gztar -zxvf 3.50.0.tar.gzvi /data/install_pkg/azkaban-3.50.0/azkaban-common/src/main/java/azkaban/utils/EmailMessage..._centos6.9 azkaban
文章浏览阅读586次，点赞23次，收藏30次。博主介绍：CSDN特邀作者、985计算机专业毕业、某互联网大厂高级全栈开发程序员、码云/掘金/华为云/阿里云/InfoQ/StackOverflow/github等平台优质作者、专注于Java、小程序、前端、python等技术领域和毕业项目实战，以及程序定制化开发、全栈讲解、就业辅导、面试辅导、简历修改。精彩专栏 推荐订阅2023-2024年最值得选的微信小程序毕业设计选题大全：100个热门选题推荐2023-2024年最值得选的Java毕业设计选题大全：500个热门选题推荐。
文章浏览阅读944次。由于需要用pyqt给yolov8做一个界面，而ultralytics一层嵌一层，不是很好用，所以对它的这个源码进行精简，具体代码我放到了这里，ultralytics使用的版本是8.0.54。具体代码如下，需要根据自己的情况来修改data的配置文件以及权值文件，在代码的49和50行。_from ultralytics.utils.plotting import annotator, colors, save_one_box modul