漏洞： HTTP 報頭追蹤漏洞 Draft

HTTP/1.1（RFC2616）規范定義了HTTP TRACE方法，主要是用于客戶端通過向Web服務器提交TRACE請求來進行測試或獲得診斷信息。當Web服務器啟用TRACE時，提交的請求頭會在服務器響應的內容（Body）中完整的返回，其中HTTP頭很可能包括Session Token、Cookies或其它認證信息。攻擊者可以利用此漏洞來欺騙合法用戶并得到他們的私人信息。該漏洞往往與其它方式配合來進行有效攻擊，由于HTTP TRACE請求可以通過客戶瀏覽器腳本發起（如XMLHttpRequest），并可以通過DOM接口來訪問，因此很容易被攻擊者利用。