WebDAV方法禁用的核心在于关闭服务器上不必要的HTTP扩展方法，特别是PUT、DELETE、COPY、MOVE等方法，因为这些方法常被攻击者利用来直接上传恶意文件、篡改或删除网站内容。在Apache服务器中，你需要在主配置文件（如httpd.conf）或虚拟主机配置文件中，使用<Limit>指令来显式拒绝这些危险方法。一个基础的防护配置示例如下：

<Directory "/var/www/html">
    <LimitExcept GET POST HEAD>
        Require all denied
    </LimitExcept>
</Directory>

这段配置意味着，对于指定的网站目录，只允许GET、POST、HEAD这三种最常用且相对安全的HTTP方法，其他所有方法（包括WebDAV相关的PUT、DELETE等）都会被拒绝。对于Nginx服务器，由于其本身不支持WebDAV模块默认未启用，但如果你安装了ngx_http_dav_module并启用，同样需要严格限制。在Nginx配置中，可以通过"if"指令结合"$request_method"变量来实现：

location / {
    if ($request_method !~ ^(GET|HEAD|POST)$ ) {
        return 405;
    }
    # ... 其他配置
}

此配置会对非GET、HEAD、POST的请求方法返回405（方法不被允许）状态码。这是第一道也是最重要的防线。

深入理解WebDAV漏洞的根源与攻击场景

仅仅禁用方法还不够，你需要知道攻击者如何利用它。WebDAV（基于Web的分布式创作和版本管理）本是为方便用户远程管理服务器文件而设计的扩展协议。但当它在生产环境中被不必要地开启且缺乏足够权限控制时，就会成为严重的漏洞。攻击者利用自动化扫描工具发现服务器开启WebDAV后，会尝试使用PUT方法直接上传WebShell（一种网页后门程序），例如上传一个名为“shell.php”的文件。一旦成功，攻击者就能通过浏览器访问该文件，执行任意服务器命令，从而窃取数据、植入木马或发起进一步攻击。另一种常见攻击是利用DELETE或MOVE方法直接删除网站关键文件，导致服务中断。因此，禁用这些方法实质上是关闭了非必要的“文件管理通道”，将攻击面最小化。

扩展限制：超越方法禁用的综合安全策略

方法禁用是基础，但真正的防护需要多层扩展限制。这包括对允许的方法进行精细化控制，以及对请求内容本身进行过滤。例如，即使只允许POST方法，攻击者仍可能通过表单上传恶意文件。因此，你需要：

1. 严格限制上传目录的权限，确保上传目录不可执行脚本。在Apache中，可以使用：

<Directory "/var/www/html/uploads">
    php_flag engine off
    <FilesMatch "\.(php|php5|phtml|pl)$">
        Require all denied
    </FilesMatch>
</Directory>

这段配置在指定上传目录中关闭PHP引擎，并直接拒绝访问任何PHP等脚本文件；

2. 实施文件类型和内容检查。不要仅依赖客户端检查，必须在服务器端对上传文件的MIME类型、扩展名和文件头进行验证；

3. 使用安全的权限设置，确保Web服务器进程（如www-data用户）对网站文件只有最小必要读写权限，绝不应拥有root权限。

针对特定CMS和框架的WebDAV风险加固

如果你使用的是如WordPress、Joomla等内容管理系统（CMS），需要格外注意。一些CMS的插件或古老版本可能内置或依赖WebDAV功能。你的加固步骤应是：首先，检查CMS后台或配置文件，明确关闭任何与WebDAV或“远程发布”相关的功能。其次，使用CMS官方推荐的安全插件，它们通常包含禁用XML-RPC（一个常与WebDAV风险并存的接口）等功能。最后，定期审计网站目录中是否存在异常文件，特别是最近创建的.php、.asp等可执行文件。对于自定义开发的Web应用，应在代码层面审查文件上传和处理逻辑，避免出现权限绕过漏洞。

服务器配置深度检查与自动化监控

一次性的配置修改并非一劳永逸。你需要建立定期检查和监控机制。使用工具如Nmap扫描你的服务器端口和服务，验证WebDAV方法是否确实被禁用：

nmap --script http-methods,http-webdav-scan -p 80,443 你的域名

这个命令会探测目标服务器上允许的HTTP方法以及WebDAV是否启用。在服务器日志监控方面，重点关注HTTP状态码405（方法不被允许）、401（认证失败）以及413（请求实体过大）等，同时警惕连续的PUT、DELETE请求尝试，这很可能是攻击探测。将日志接入SIEM（安全信息和事件管理）系统进行实时分析报警。此外，保持服务器操作系统、Web服务器软件（Apache/Nginx）及所有应用组件的最新版本，及时修补已知安全漏洞。

进阶防御：结合WAF与网络层隔离

在应用层配置之上，引入网络应用防火墙（WAF）能提供更强大的防护。无论是云服务商提供的WAF还是自建的开源方案（如ModSecurity），都可以轻松配置规则来拦截含有特定危险HTTP方法（如PUT、DELETE）的请求。一条典型的ModSecurity规则核心如下：

SecRule REQUEST_METHOD "@rx ^(PUT|DELETE|COPY|MOVE)$" \
    "id:1000,phase:1,deny,status:405,msg:'WebDAV dangerous method detected'"

这条规则会在请求处理的早期阶段（phase:1）匹配请求方法，如果是PUT、DELETE、COPY或MOVE，则直接拒绝并返回405状态码。对于高安全要求的系统，应考虑在网络架构上进行隔离，将Web服务器置于DMZ（隔离区），并通过内部防火墙严格限制从外部到内部网络的连接，即使Web服务器被攻陷，也能有效阻止攻击者向内网渗透。

总结：构建以“最小权限”为核心的安全体系

网站漏洞防护中，WebDAV方法的禁用与扩展限制，其本质是践行“最小权限原则”。即服务器只开放最少的、业务必需的功能端口和方法。你需要做的不是简单的开关，而是一个持续的过程：从禁用非必要HTTP方法开始，延伸到文件上传过滤、目录权限控制、CMS安全加固、日志监控，再到部署WAF和网络隔离。每一个环节都是纵深防御的一层。定期进行安全评估和渗透测试，模拟攻击者的行为来检验你的防护是否生效。安全是一个动态对抗的过程，唯有保持警惕并实施系统化的防护策略，才能将WebDAV这类已知漏洞的风险降至最低，真正守护网站的安全稳定运行。