| 核查 | PROPFIND/PUT 等方法可用性 |
|---|---|
| 风险 | 未授权上传与目录枚举 |
| 修复 | 关闭不需要的 WebDAV 或限制认证与目录 |
检查方式
检查方式
curl -s -X PROPFIND -i https://target.example/ | findstr /i "207 dav"
# 若返回目录结构，记录方法与范围；不执行写操作写方法（PUT/MKCOL）验证需要客户明确授权并安排清理，通常以配置核查替代。
WebDAV 配置检查
WebDAV 启用且目录可写时可被直接上传内容；核查支持的方法集与目录权限配置。
易错点
- 直接 PUT 测试文件，遗留垃圾数据
- 忽略 IIS 与 Nginx 对 WebDAV 的支持差异
数据来源与参考
- RFC 4918（WebDAV）
- OWASP WSTG WSTG-CONF-06