JBOSS禁用delete和put方法教程
一、背景说明（与此节修复没多大关系可跳过）
今天应用报扫描出“启用不安全的HTTP方法”漏洞需要进行修复，看后边还有IIS的修复建议；一边不满怎么用IIS一边研究了具体操作半天，由于IIS不同版本操作起来可能有不同所以看一下版本号。
老办法访问一个不存在的页面，看到了如下 界面：
谁妹子的说是IIS的，真妹子的误导人；不过JBoss2.0不太可能吧这是哪年的东西，难道不是JBoss？搜一下真有JBoss web这东西
JBoss就用得少了，来个JBos Web那不是有的搞？还好有位大哥写了个安装教程，看起来不复杂。
装完之后，看目录，这哪是像tomcat难道不是就是个tomcat？国产中间件都没你这么像啊。
不过无所谓啊，对我们处理问题而言越像越好。
但到应用主机上再看目录完完全全不一样啊，这是什么东西？
（上图为本地装的jboss web的bin目录下文件的截图）
（上图为本地装的jboss5的bin目录下文件的截图）
难道是哪位大神把脚本全给重写了，打开run.sh开头就正规的注释，这基本不可能啊。
灵机一动，搜下“jboss_init_redhat.sh”这种基本专有的名称会有什么结果？JBoss？有没有可能这东西根本就是JBoss而不是JBoss Web？
去下载一个JBoss5，解压果然目录文件果然一样，再看报错果然JBoss也曝的是JBoss Web（JBoss默认只监听127.0.0.1）；唉，都怪自己懂得太多了不然一早按JBoss搞早搞完了：）
二、修复方法
进入JBoss目录，使用find找到项目对应的web.xml
find . -name "*web.xml"
然后在末尾追加以下内容（当然还是得在<webapp>标签内）：
<security-constraint>
<web-resource-collection>
<web-resource-name>NoAccess</web-resource-name>
<url-pattern>/*</url-pattern>
<http-method>DELETE</http-method>
<http-method>PUT</http-method>
<http-method>OPTIONS</http-method>
<http-method>TRACE</http-method>
</web-resource-collection>
<auth-constraint/>
</security-constraint>
保存然后重启JBoss即可
参考：
