XST(Cross Site Tracing) 공격

XST란 XSS가 먼저 포스팅한 httponly 옵션으로 방지 되어있을 때 사용할 수 있는 쿠키, 세션 탈취 기법입니다.

공격 조건 : 서버에서 Trace Method를 허용하고 있어야함.

  클라이언트에서는 Trace Method를 발생하여야 함.

  Response Body를 제어할 수 있어야 함.

공격 ex)

방어법

[Apache]
 Apache의 경우 httpd.conf 에서 아래와 같이 HTTP 메소드를 제한할 수 있습니다.
 <Directory />
 <LimitExcept GET POST>
  Order allow,deny
  deny from all
 </LimitExcept>
 </Directory>


[IIS]
 IIS의 경우 WebDAV를 중지하거나 URL Scan과 같은 툴을 사용하여 HTTP메소드 제한할 수 있습니다.
(http://technet.microsoft.com/en-US/security/cc242650.aspx#e)


[Tomcat]
WEB-INF\web.xml 에 아래와 같이 설정
<security-constraint>
   <web-resource-collection>
   <web-resource-name>Forbidden</web-resource-name>
       <url-pattern>/*</url-pattern>
       <http-method>HEAD</http-method>
       <http-method>PUT</http-method>
       <http-method>DELETE</http-method>
       <http-method>TRACE</http-method>
   </web-resource-collection>

   <auth-constraint>
       <role-name></role-name>
   </auth-constraint>
</security-constraint>