WebDAV Explorer

WebDAV (Web Distributed Authoring and Versioning) é uma extensão do HTTP que permite o gerenciamento remoto de arquivos em servidores web. Embora projetado para colaboração e gerenciamento de conteúdo legítimos, implementações WebDAV mal configuradas são um vetor de ataque bem conhecido em testes de penetração. Um exploit WebDAV pode permitir que atacantes façam upload de arquivos maliciosos, executem web shells e obtenham controle completo do servidor alvo.

O que é WebDAV e como funciona?

WebDAV estende o protocolo HTTP padrão com métodos adicionais como PUT, PROPFIND, MKCOL, COPY, MOVE e DELETE que permitem aos clientes criar, modificar e gerenciar arquivos em servidores web remotos. Originalmente desenvolvido para edição colaborativa de documentos, o WebDAV é usado por muitos sistemas de gerenciamento de conteúdo, plataformas de armazenamento em nuvem e soluções de compartilhamento de arquivos corporativos. O protocolo é suportado nativamente por Windows, macOS e Linux.

Os riscos de segurança surgem quando o WebDAV é habilitado sem controles de acesso adequados. Configurações incorretas comuns incluem permitir acesso anônimo a diretórios WebDAV, não restringir quais tipos de arquivo podem ser enviados, e habilitar WebDAV em diretórios onde o servidor web executa scripts. Quando essas condições se alinham, os atacantes podem fazer upload de arquivos executáveis como web shells PHP e acessá-los pelo navegador para obter execução remota de código.

Exploração WebDAV em testes de penetração

Testadores de penetração verificam rotineiramente o WebDAV durante avaliações de servidores web. O processo geralmente envolve escanear diretórios habilitados para WebDAV usando ferramentas como davtest ou scripts nmap, testar quais métodos HTTP são permitidos com uma requisição OPTIONS, tentar uploads de arquivos com várias extensões para identificar oportunidades de contorno, e verificar se os arquivos enviados são executados pelo servidor. Mesmo quando certas extensões de arquivo são bloqueadas, os atacantes podem contornar restrições usando extensões alternativas, manipulação de content-type ou injeção de byte nulo.

Protegendo deployments WebDAV

Organizações que necessitam da funcionalidade WebDAV devem implementar requisitos rigorosos de autenticação, limitar tipos e tamanhos de arquivo permitidos, desabilitar execução de scripts em diretórios WebDAV, usar domínios ou hosts virtuais separados para gerenciamento de arquivos, e auditar regularmente os logs de acesso. Quando o WebDAV não é necessário, ele deve ser completamente desabilitado para eliminar a superfície de ataque.