禁用Elastic Beanstalk的TR ACE / TRACK HTTP方法

Question

在生产环境中禁用HTTP TRACE和TRACK方法是一种安全性最佳实践。在基于Apache2的Elastic Beanstalk部署（例如Python）中执行此操作的最佳方法是什么？

Answer 1

设置TraceEnable Off（as suggested here）仅将禁用跟踪，而不会禁用跟踪。您需要对TRACK请求使用重写引擎。

将以下内容添加到.ebextensions中的一个.config文件中：

files:
    "/etc/httpd/conf.d/disable_trace_track.conf":
        mode: "000644"
        owner: root
        group: root
        content: |
            TraceEnable Off
            RewriteEngine on
            <If "%{REQUEST_METHOD} == 'TRACK'">
              RewriteRule .* - [F]
            </If>