WebDAV 安全風險全解析：協議功能、攻擊面、IIS 關閉指南與防護建議

WebDAV (Web-based Distributed Authoring and Versioning) 擴展 HTTP/1.1，新增 PROPFIND、PROPPATCH、MKCOL、COPY、MOVE、LOCK、UNLOCK 等方法，支援遠端編寫、版本控制、鎖定協作。

核心風險

1. 匿名寫入：配置不當允許匿名 PUT/DELETE/MKCOL，攻擊者可上傳 WebShell、刪除檔案、植入惡意頁面
2. 組件漏洞：舊版 IIS WebDAV 模組 (如 IIS 5.0/6.0) 存在緩衝區溢位、權限繞過 (CVE-2003-0109 等)
3. 資訊洩露：PROPFIND 可枚舉目錄結構、檔案屬性、內部路徑
4. DoS：大量 LOCK 佔用資源、遞歸 PROPFIND 耗盡 CPU/記憶體

IIS 6.0 關閉 WebDAV 步驟

1. 控制台 → 新增/移除程式 → 新增/移除 Windows 組件
2. 「應用程式伺服器」→ 「Internet 資訊服務 (IIS)」→ 詳細資料
3. 取消勾選 WebDAV 撰寫
4. 完成嚮導，重啟 IIS：iisreset

IIS 7.0+ 關閉/限制 WebDAV

# 方法一：移除模組 (伺服器管理員 → 角色服務 → 移除 WebDAV 撰寫)
# 方法二：請求篩選封鎖 WebDAV 動詞
<system.webServer>
  <security>
    <requestFiltering>
      <verbs allowUnlisted="true">
        <add verb="PROPFIND" allowed="false" />
        <add verb="PROPPATCH" allowed="false" />
        <add verb="MKCOL" allowed="false" />
        <add verb="PUT" allowed="false" />
        <add verb="DELETE" allowed="false" />
        <add verb="COPY" allowed="false" />
        <add verb="MOVE" allowed="false" />
        <add verb="LOCK" allowed="false" />
        <add verb="UNLOCK" allowed="false" />
      </verbs>
    </requestFiltering>
  </security>
</system.webServer>

若業務必須啟用 WebDAV，最小化防護清單

• 升級至最新 IIS 版本並套用安全更新
• 僅在特定虛擬目錄啟用，非全站開放
• 強制 Windows 整合驗證 / Kerberos / 摘要式驗證，禁用匿名/基本驗證
• NTFS ACL 精細控制：寫入權限僅授予必要帳號
• 請求篩選限制單次上傳大小、封鎖執行副檔名
• 啟用審核：記錄所有 WebDAV 方法存取

WebDAV 優勢場景 (合法用途)

• Office 文件直接編輯保存 (Word/Excel/PowerPoint 支援原生 WebDAV)
• Windows 「新增網路位置」掛載為本地磁碟機
• 跨平台檔案同步 (WebDAV 客戶端：Cadaver, Cyberduck, WinSCP, rclone)
• 版本控制與鎖定協作 (避免同時編輯衝突)

非業務必須，堅決關閉 WebDAV。現代協作場景多已遷移至 SharePoint/OneDrive/Nextcloud/Seafile 等專用平台，WebDAV 歷史使命基本結束。