大规模实测证实HTTP方法互换性导致安全边界失效
先了解这件事
2026年10月28日，arXiv cs.CR发布论文指出，通过自动化管道MIDE在Tranco Top 10k网站进行的无认证实验发现，4.1%的站点存在高置信度的HTTP方法互换现象。具体而言，407个网站允许将POST请求重写为GET请求并将参数移至查询字符串后产生等效响应。该结果证实了HTTP方法互换性在真实Web应用中普遍存在，打破了部署应用严格区分安全检索与状态变更操作的假设。
AI 根据报道生成 · 4 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
- arXiv cs.CR大规模实测发现4.1%的Tranco Top 10k网站存在POST请求可被改写为GET的安全边界失效
这篇arXiv论文通过自动化管道MIDE在Tranco排名前10,000个网站上进行无认证的大规模实验，证实了HTTP方法互换性（Method Interchangeability）在真实Web应用中普遍存在。研究发现，在测试的10,000个站点中，有407个（占比4.1%）存在高置信度的方法互换现象，即POST请求被重写为GET请求并将参数移至查询字符串后，仍能产生等效响应。这一结果打破了部署应用严格区分安全检索与状态变更操作的假设。 证据细节显示，在捕获到POST请求的3,200个站点中，互换比例升至12.7%；而在成功重放POST请求的2,734个站点中，该比例进一步达到14.9%。研究不仅确认了互换行为本身，还发现了具体的攻击面：针对CSRF令牌的重放检查发现部分站点接受无效令牌的GET请求却拒绝POST请求，同时观察到Web缓存欺骗（WCD）条件及可缓存的GET响应。这些事实表明，基于HTTP方法的防御机制在这些场景下存在实质性缺口。 推断认为，这种互换性可能被用于绕过特定的CSRF防护或触发未预期的缓存行为，从而扩大攻击面。虽然论文未提供具体利用代码，但观测到的令牌验证差异和缓存特性暗示了潜在的攻击路径。猜测部分在于，由于实验未包含认证环境，实际生产环境中受保护接口的互换率可能因会话管理策略而有所不同，但这不影响当前发现的广泛性结论。
本事件热度走势
当前热度 9·可比范围峰值 9（10月28日 14:00）·近 24 小时可比范围变化 –
趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。