3 Web服务器安全加固

本文涉及的产品
日志服务 SLS,月写入数据量 50GB 1个月
简介:

3 Web服务器安全加固

3.1 启用日志记录功能

3.2 HTTPS协议

3.3 Tomcat错误页面重定向

3.4 禁止tomcat列表显示文件

2-1 Linux安装后文件路径

2-2 Linux下全局配置文件可能位置


3.1 启用日志记录功能

实施目的

Web服务器应配置日志功能,对用户登录进行记录,记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP地址。

问题影响

无法对用户的登陆进行日志记录。

系统当前状态

系统未配置日志记录。

实施步骤

编辑server.xml配置文件,在<HOST>标签中增加记录日志功能

将以下内容的注释标记< ! --    -- >取消

<valve classname="org.apache.catalina.valves.AccessLogValve" 
Directory="logs" prefix="localhost_access_log." Suffix=".txt" 
Pattern="common" resloveHosts="false"/>

imgDownload?uuid=add33cb3e78745b7bac6f47

classname:必须被设置为

“org.apache.catalina.valves.AccessLogValve to use the default access log valve. &<60”

Directory:日志文件放置的目录,在tomcat下面有个logs文件夹,那里面是专门放置日志文件的,也可以修改为其他路径;

Prefix: 日志文件的名称前缀,如日志名称为“localhost_access_log.2008-10-22.txt”,前缀就是本例中设置的“localhost_access_log”

Suffix: 文件后缀名;

Pattern: common方式时,将记录访问源IP、本地服务器IP、记录日志服务器IP、访问方式、发送字节数、本地接收端口、访问URL地址等相关信息在日志文件中;

resolveHosts:值为true时,tomcat会将这个服务器IP地址通过DNS转换为主机名,如果是false,就直接写服务器IP地址。

回退方案

还原server.xml

判断依据

登录web服务器后,检查相关信息是否被日志记录。

实施风险

重要等级

3.2 HTTPS协议

实施目的

对于通过HTTP协议进行远程维护的设备,设备应支持使用HTTPS等加密协议。

问题影响

增加Web数据传输安全隐患。

系统当前状态

系统未配置HTTPS加密协议。

实施步骤

1、使用JDK自带的keytool工具生成一个证书:

JAVA_HOME/bin/keytool  -genkey –alias tomcat –keyalg  RSA -keystore /path/to/my/keystore

2、修改tomcat/conf/server.xml配置文件,更改为使用https方式,增加如下行:

<Connector classname="org.apache.catalina.http.HttpConnector" port="443"  minProcessors="5"  maxprocessors="100" enableLookups="true"  acceptCount="10"  debug="0"scheme="https" secure="true" > 
< Factory classname="org.apache.catalina.SSLServerSocketFactory" clientAuth="false" keystoreFile="/path/to/my/keystore" keystorePass="runway" protocol="TLS"/> 
< /Connector>

回退方案

还原server.xml

判断依据

登录web服务器后,检查相关信息是否被日志记录。

实施风险

重要等级

3.3 Tomcat错误页面重定向

实施目的

更改Tomcat错误页面并重定向页面,增加系统安全性。

问题影响

出现错误时系统可能会将错误堆栈信息打印到页面,使得攻击人员可以根据错误信息进行有效的攻击。

系统当前状态

系统未配置错误重定向页面。

实施步骤

配置tomcat/conf/web.xml文件,在最后</web-app>之前加入以下内容:

<error-page>   
< error-code>404</error-code> 
< location>/noFile.htm</location>   
< /error-page>  
……………  
< error-page> 
< exception-type>java.lang.NullPointerException</exception-type> 
< location>/error.jsp</location>  </error-page>

imgDownload?uuid=add33cb3e78745b7bac6f47

第一个<error-page></error-page>之间的配置实现了将404未找到jsp网页的错误导向noFile.htm页面,也可以用类似方法添加其多的错误代码导向页面,如403,500等。

第二个<error-page></error-page>之间的配置实现了当jsp网页出现java.lang.NullPointerException导常时,转向error.jsp错误页面。

回退方案

还原server.xml

判断依据

URL地址栏中输入“http://ip:80/manager123”查看返回界面。

实施风险

重要等级

3.4 禁止tomcat列表显示文件

实施目的

禁止tomcat列表显示文件,增加系统安全性。

问题影响

不安全性增加。

系统当前状态

系统未配置禁止tomcat列表显示文件。

实施步骤

编辑tomcat/conf/web.xml配置文件,

<init-param> 
        <param-name>listings</param-name> 
        <param-value>true</param-value> 
< /init-param>

true改成false。重新启动tomcat服务。

回退方案

还原server.xml

判断依据

直接访问http://ip:8800/webadd

实施风险

重要等级



本文转自 Mr_sheng 51CTO博客,原文链接:http://blog.51cto.com/sf1314/2064736
相关实践学习
日志服务之使用Nginx模式采集日志
本文介绍如何通过日志服务控制台创建Nginx模式的Logtail配置快速采集Nginx日志并进行多维度分析。
相关文章
|
3天前
|
Java PHP
PHP作为广受青睐的服务器端脚本语言,在Web开发中占据重要地位。理解其垃圾回收机制有助于开发高效稳定的PHP应用。
【10月更文挑战第1天】PHP作为广受青睐的服务器端脚本语言,在Web开发中占据重要地位。其垃圾回收机制包括引用计数与循环垃圾回收,对提升应用性能和稳定性至关重要。本文通过具体案例分析,详细探讨PHP垃圾回收机制的工作原理,特别是如何解决循环引用问题。在PHP 8中,垃圾回收机制得到进一步优化,提高了效率和准确性。理解这些机制有助于开发高效稳定的PHP应用。
16 3
|
2月前
|
JavaScript 搜索推荐 前端开发
从零搭建到部署:Angular与Angular Universal手把手教你实现服务器端渲染(SSR),全面解析及实战指南助你提升Web应用性能与SEO优化效果
【8月更文挑战第31天】服务器端渲染(SSR)是现代Web开发的关键技术,能显著提升SEO效果及首屏加载速度,改善用户体验。Angular Universal作为官方SSR解决方案,允许在服务器端生成静态HTML文件。本文通过具体示例详细介绍如何使用Angular Universal实现SSR,并分享最佳实践。首先需安装Node.js和npm。
34 1
|
2月前
|
API C# 开发框架
WPF与Web服务集成大揭秘:手把手教你调用RESTful API,客户端与服务器端优劣对比全解析!
【8月更文挑战第31天】在现代软件开发中,WPF 和 Web 服务各具特色。WPF 以其出色的界面展示能力受到欢迎,而 Web 服务则凭借跨平台和易维护性在互联网应用中占有一席之地。本文探讨了 WPF 如何通过 HttpClient 类调用 RESTful API,并展示了基于 ASP.NET Core 的 Web 服务如何实现同样的功能。通过对比分析,揭示了两者各自的优缺点:WPF 客户端直接处理数据,减轻服务器负担,但需处理网络异常;Web 服务则能利用服务器端功能如缓存和权限验证,但可能增加服务器负载。希望本文能帮助开发者根据具体需求选择合适的技术方案。
78 0
|
2月前
|
Rust 安全 开发者
惊爆!Xamarin 携手机器学习,开启智能应用新纪元,个性化体验与跨平台优势完美融合大揭秘!
【8月更文挑战第31天】随着互联网的发展,Web应用对性能和安全性要求不断提高。Rust凭借卓越的性能、内存安全及丰富生态,成为构建高性能Web服务器的理想选择。本文通过一个简单示例,展示如何使用Rust和Actix-web框架搭建基本Web服务器,从创建项目到运行服务器全程指导,帮助读者领略Rust在Web后端开发中的强大能力。通过实践,读者可以体验到Rust在性能和安全性方面的优势,以及其在Web开发领域的巨大潜力。
34 0
|
2月前
|
Java 数据库 API
JSF与JPA的史诗级联盟:如何编织数据持久化的华丽织锦,重塑Web应用的荣耀
【8月更文挑战第31天】JavaServer Faces (JSF) 和 Java Persistence API (JPA) 分别是构建Java Web应用的用户界面组件框架和持久化标准。结合使用JSF与JPA,能够打造强大的数据驱动Web应用。首先,通过定义实体类(如`User`)和配置`persistence.xml`来设置JPA环境。然后,在JSF中利用Managed Bean(如`UserBean`)管理业务逻辑,通过`EntityManager`执行数据持久化操作。
43 0
|
2月前
|
JavaScript 前端开发 UED
服务器端渲染新浪潮:用Vue.js和Nuxt.js构建高性能Web应用
【8月更文挑战第30天】在现代Web开发中,提升应用性能和SEO友好性是前端开发者面临的挑战。服务器端渲染(SSR)能加快页面加载速度并改善搜索引擎优化。Vue.js结合Nuxt.js提供了一个高效框架来创建SSR应用。通过安装`create-nuxt-app`,可以轻松创建新的Nuxt.js项目,并利用其自动路由功能简化页面管理。Nuxt.js默认采用SSR模式,并支持通过`asyncData`方法预取数据,同时提供了静态站点生成和服务器端渲染的部署选项,显著提升用户体验。
67 0
|
2月前
|
数据可视化 Python
通过python建立一个web服务查看服务器上的文本、图片、视频等文件
通过python建立一个web服务查看服务器上的文本、图片、视频等文件
34 0
|
1天前
|
设计模式 测试技术 持续交付
开发复杂Web应用程序
【10月更文挑战第3天】开发复杂Web应用程序
8 2
|
1月前
|
数据可视化 图形学 UED
只需四步,轻松开发三维模型Web应用
为了让用户更方便地应用三维模型,阿里云DataV提供了一套完整的三维模型Web模型开发方案,包括三维模型托管、应用开发、交互开发、应用分发等完整功能。只需69.3元/年,就能体验三维模型Web应用开发功能!
66 8
只需四步,轻松开发三维模型Web应用
|
21天前
|
安全 API 开发者
Web 开发新风尚!Python RESTful API 设计与实现,让你的接口更懂开发者心!
在当前的Web开发中,Python因能构建高效简洁的RESTful API而备受青睐,大大提升了开发效率和用户体验。本文将介绍RESTful API的基本原则及其在Python中的实现方法。以Flask为例,演示了如何通过不同的HTTP方法(如GET、POST、PUT、DELETE)来创建、读取、更新和删除用户信息。此示例还包括了基本的路由设置及操作,为开发者提供了清晰的API交互指南。
81 6