在互聯(lián)網發(fā)展的早期，你必須先輸入“http://”才能輸入網站的網址。從這個意義上說，重定向讓我們的生活變得更輕松，但 HTTP（超文本傳輸??協(xié)議）仍然在網絡上的應用程序中扮演著不可或缺的角色。由于這種用于傳輸超媒體文檔（如 HTML 以呈現(xiàn)頁面）的應用層協(xié)議非常常見，因此它也是網絡犯罪分子常用的攻擊媒介。
HTTP 動詞指定服務器應如何處理 URL 標識的數(shù)據。它們通常被稱為“HTTP 方法”，之所以被稱為動詞，是因為它們只是簡單的動作。
Web 服務器接受許多不同的 HTTP 動詞，但一些最常見的實例是：
傳統(tǒng)上，GET 和 POST 是兩個最常用的 HTTP 動詞。例如，當您想要訪問 Google 等網站時，您正在執(zhí)行 GET HTTP 動詞，將數(shù)據從網站檢索到您的設備。
執(zhí)行 POST HTTP 動詞通常表現(xiàn)為在網站上的表單中輸入信息。您正在向 Web 服務器上“發(fā)布”新數(shù)據或狀態(tài)更改。
標準樣式的鏈接會觸發(fā) GET 請求，而使用“POST”方法提交的表單會觸發(fā) POST 請求。如果沒有 HTTP 動詞，表單默認通過 GET 發(fā)送數(shù)據。
如您所見，更改 HTTP 動詞輸入并不困難。一旦發(fā)現(xiàn) HTTP 配置存在漏洞，攻擊者就可以輕松執(zhí)行 DELETE 等敏感功能。
HTTP 動詞篡改攻擊利用 HTTP 方法的身份驗證和訪問控制機制中的漏洞。
最常見的 HTTP 方法允許以有限的安全性進行訪問，因為這就是身份驗證機制的目的。最初，需要身份驗證的網站僅通過密碼保護就被視為安全。隨著網絡變得越來越智能，網絡犯罪分子也變得越來越聰明。由于大多數(shù) HTTP 動詞都不是完全安全的，因此篡改就像操縱受密碼保護的區(qū)域一樣簡單，從而允許未經授權訪問受限資源。
HTTP 動詞篡改通常是由 Web 應用程序或后端服務器中的安全設置配置錯誤引起的。攻擊者將利用此漏洞繞過身份驗證并訪問敏感數(shù)據，只需更改請求方法即可操縱或刪除數(shù)據。
您應該立即采取一些措施來防止 HTTP 動詞被篡改。
文章來源：Web Attacks: Intro to HTTP Verb Tampering