3 Web服务器安全加固

本文涉及的产品
日志服务 SLS,月写入数据量 50GB 1个月
简介:

3 Web服务器安全加固

3.1 启用日志记录功能

3.2 HTTPS协议

3.3 Tomcat错误页面重定向

3.4 禁止tomcat列表显示文件

2-1 Linux安装后文件路径

2-2 Linux下全局配置文件可能位置


3.1 启用日志记录功能

实施目的

Web服务器应配置日志功能,对用户登录进行记录,记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP地址。

问题影响

无法对用户的登陆进行日志记录。

系统当前状态

系统未配置日志记录。

实施步骤

编辑server.xml配置文件,在<HOST>标签中增加记录日志功能

将以下内容的注释标记< ! --    -- >取消

<valve classname="org.apache.catalina.valves.AccessLogValve" 
Directory="logs" prefix="localhost_access_log." Suffix=".txt" 
Pattern="common" resloveHosts="false"/>

imgDownload?uuid=add33cb3e78745b7bac6f47

classname:必须被设置为

“org.apache.catalina.valves.AccessLogValve to use the default access log valve. &<60”

Directory:日志文件放置的目录,在tomcat下面有个logs文件夹,那里面是专门放置日志文件的,也可以修改为其他路径;

Prefix: 日志文件的名称前缀,如日志名称为“localhost_access_log.2008-10-22.txt”,前缀就是本例中设置的“localhost_access_log”

Suffix: 文件后缀名;

Pattern: common方式时,将记录访问源IP、本地服务器IP、记录日志服务器IP、访问方式、发送字节数、本地接收端口、访问URL地址等相关信息在日志文件中;

resolveHosts:值为true时,tomcat会将这个服务器IP地址通过DNS转换为主机名,如果是false,就直接写服务器IP地址。

回退方案

还原server.xml

判断依据

登录web服务器后,检查相关信息是否被日志记录。

实施风险

重要等级

3.2 HTTPS协议

实施目的

对于通过HTTP协议进行远程维护的设备,设备应支持使用HTTPS等加密协议。

问题影响

增加Web数据传输安全隐患。

系统当前状态

系统未配置HTTPS加密协议。

实施步骤

1、使用JDK自带的keytool工具生成一个证书:

JAVA_HOME/bin/keytool  -genkey –alias tomcat –keyalg  RSA -keystore /path/to/my/keystore

2、修改tomcat/conf/server.xml配置文件,更改为使用https方式,增加如下行:

<Connector classname="org.apache.catalina.http.HttpConnector" port="443"  minProcessors="5"  maxprocessors="100" enableLookups="true"  acceptCount="10"  debug="0"scheme="https" secure="true" > 
< Factory classname="org.apache.catalina.SSLServerSocketFactory" clientAuth="false" keystoreFile="/path/to/my/keystore" keystorePass="runway" protocol="TLS"/> 
< /Connector>

回退方案

还原server.xml

判断依据

登录web服务器后,检查相关信息是否被日志记录。

实施风险

重要等级

3.3 Tomcat错误页面重定向

实施目的

更改Tomcat错误页面并重定向页面,增加系统安全性。

问题影响

出现错误时系统可能会将错误堆栈信息打印到页面,使得攻击人员可以根据错误信息进行有效的攻击。

系统当前状态

系统未配置错误重定向页面。

实施步骤

配置tomcat/conf/web.xml文件,在最后</web-app>之前加入以下内容:

<error-page>   
< error-code>404</error-code> 
< location>/noFile.htm</location>   
< /error-page>  
……………  
< error-page> 
< exception-type>java.lang.NullPointerException</exception-type> 
< location>/error.jsp</location>  </error-page>

imgDownload?uuid=add33cb3e78745b7bac6f47

第一个<error-page></error-page>之间的配置实现了将404未找到jsp网页的错误导向noFile.htm页面,也可以用类似方法添加其多的错误代码导向页面,如403,500等。

第二个<error-page></error-page>之间的配置实现了当jsp网页出现java.lang.NullPointerException导常时,转向error.jsp错误页面。

回退方案

还原server.xml

判断依据

URL地址栏中输入“http://ip:80/manager123”查看返回界面。

实施风险

重要等级

3.4 禁止tomcat列表显示文件

实施目的

禁止tomcat列表显示文件,增加系统安全性。

问题影响

不安全性增加。

系统当前状态

系统未配置禁止tomcat列表显示文件。

实施步骤

编辑tomcat/conf/web.xml配置文件,

<init-param> 
        <param-name>listings</param-name> 
        <param-value>true</param-value> 
< /init-param>

true改成false。重新启动tomcat服务。

回退方案

还原server.xml

判断依据

直接访问http://ip:8800/webadd

实施风险

重要等级



本文转自 Mr_sheng 51CTO博客,原文链接:http://blog.51cto.com/sf1314/2064736
相关实践学习
日志服务之使用Nginx模式采集日志
本文介绍如何通过日志服务控制台创建Nginx模式的Logtail配置快速采集Nginx日志并进行多维度分析。
相关文章
|
5月前
|
SQL 运维 监控
什么是Web应用程序防火墙,WAF与其他网络安全工具差异在哪?
总之,WAF是一种专门用于保护Web应用程序的网络安全工具,与其他网络安全工具在焦点、层级、检测方式、部署位置和针对性等方面存在差异,以确保Web应用程序的安全运行。 买CN2云服务器,免备案服务器,高防服务器,就选蓝易云。百度搜索:蓝易云
164 0
|
5月前
|
开发框架 安全 中间件
38、中间件漏洞解析-IIS6.0
38、中间件漏洞解析-IIS6.0
65 0
|
SQL 安全 中间件
中间件常见漏洞之IIS 2
中间件常见漏洞之IIS
308 0
|
开发框架 安全 .NET
中间件常见漏洞之IIS 1
中间件常见漏洞之IIS
311 0
|
开发框架 安全 中间件
Web服务器(中间件)漏洞
Web服务器又叫Web中间件,常见的Web中间件有 IIS Apache Nginx
191 2
|
JavaScript 安全 前端开发
提高NodeJS网站的安全性:Web服务器防黑客攻击技巧
毫无疑问,Node.js现在是越来越成熟。尽管这样,我们还没有形成很多的安全准则。 在这篇文章中,我会分享一些关于提高Node.js安全性方面的技巧。
643 0
|
网络安全 Linux Windows
网站防CC攻击软件防火墙和WEB防火墙大比较
CC攻击是一种成本极低的DDOS攻击方式,只要有上百个IP,每个IP弄几个进程,那么可以有几百上千个并发请求,很容易让服务器资源耗尽,从而造成网站宕机;防御CC攻击,硬件防火墙的效果不怎么明显,因为CC攻击的IP量太小,很难触发防御机制,反而是软件防火墙、WEB防火墙更容易防御。
|
Web App开发 应用服务中间件 Apache
NetCraft数据:8月Web服务器端软件使用情况
NetCraft数据显示,2010年8月,互联网上共有213,458,815个网站,四种Web服务器端软件用户数据增加,其中的两种市场占有率提升。 Apache依然是世界上最受欢迎的主机端,数量高达670万台,微软的市场占有率大幅下降了1%,主要来自中国电信业的损失,lighttpd则修复了上月的下...
1024 0
|
安全 Linux 应用服务中间件
nginx网站漏洞该如何修复 加强服务器的安全防护
服务器的安全防护中,网站环境的搭建与安全部署也是很重要的一部分,目前大多数的服务器都使用的是nginx来搭建网站的运行环境,包括windows服务器,linux服务器都在使用,nginx的安全设置对于服务器安全起到很重要的作用。
1712 0
|
安全 关系型数据库 Linux
Linux服务器安全配置加固防护方法
本文详细总结了PHP网站在Linux服务器上面的安全配置,包含PHP安全、mysql数据库安全、web服务器安全、木马查杀和防范等,很好很强大很安全。(如果需要深入的安全部署建议找专业做安全的国内公司如:Sinesafe,绿盟,启明星辰等等都是比较不错的专业做网站安全的公司) PHP安全配置 1.
1830 0