TRACEメソッドって怖いんです - カイワレの大冒険 Third

※2013/01/24 add: 徳丸先生の書かれた実はそんなに怖くないTRACEメソッド | 徳丸浩の日記を先に見ておくをオススメします。深く追求できていないまま記事にしてしまい申し訳ありません。 タイトルの通りです。HTTPのメソッドには、よく使うものとしてGETやPOSTというものがありますが、TRACEメソッドというものがありまして、これを有効にしておくと危ないよという話しです。 TRACEメソッドについて 百聞は一見にしかず、どんな挙動をするか見ていきましょう。 $ telnet example.org 80 Trying example.org... Connected to example.org. Escape character is '\^]'. TRACE / HTTP/1.1 #ここと HOST: example.org #ここを手で入力して、エンターキー二回このよ

[astraea777]

TRACEメソッドのテストの仕方が載ってる。

[y-kawaz]

ブラウザに脆弱性でもない限りxhrでtrace投げられないようになってるからから怖くないよ。

[ockeghem]

実際にはブラウザ側で対策が取られており怖くない。ブラウザの脆弱性に備えて対策するのは勝手だが、その労力を別のことに向けたほうが良い

[kitokitoki]

TRACEメソッド

[Akaza]

TRACEメソッドによる脅威と対策 / とりあえずScript Injection前提か

[pplaceCEO]

　メモ。

[hidehish]

見てる:

[aroma_black]

セッションハイジャックとかできるらしい

[wata300]

《BASIC認証をするページで認証の際に、ともにTRACEメソッドを発行させて、その結果を特定のサーバに送ったり、ファイルとして生成させるようなスクリプトを埋め込めば、いくらでもユーザ情報を入手できてしまいます》

[n2s]

無効にしておくのが吉。あとTRACE送信させられるような状態なら攻撃者は他にもいろいろやらせることが可能だからTRACE関係なしにやばい罠。

[Yuichirou]

なにこれこわい / XMLHttpRequestのW3C勧告候補確認したら、TRACE指定されたら SECURITY_ERR 例外を投げろ、となってた! http://www.w3.org/TR/XMLHttpRequest/#the-open-method

[yamadar]

トレース怖いよ！なるほど。

[riywo]

こわいこわいですねー