apache安全配置tips

 

原文：http://www.javaarch.net/jiagoushi/1105.htm

 

apache安全配置tips

 

1.apache出错页面隐藏apache版本和操作系统信息

 

默认情况下apache的404页面会出现apache的版本和OS信息，这个会成为一个主要的安全威胁点。那么如何隐藏这些信息，打开apache的httpd.conf配置文件，里面ServerSignature这个参数默认为on，然后再通过ServerTokens Prod这个选项在每个response中只返回apache字符串，而不返回具体的版本信息

 

# vim /etc/httpd/conf/httpd.conf

 

ServerSignature Off

ServerTokens Prod

 

2.禁用目录列表

 

默认情况下apache会列出index file的目录内容，这个会暴露一些动态脚本比如php的源码，可以通过httpd.conf增加下面选项禁用列出目录内容

 

<Directory /var/www/html>

Options -Indexes

</Directory>

 

3.经常更新到最新版的apache，解决一些apache的漏洞

 

# httpd -v 查看apache版本，

根据不同的linux版本更新apache

# yum update httpd

# apt-get update apache2

 

4.禁用不需要的模块，找到httpd.conf的loadModule行，对于不需要的用#注释掉

 

# grep LoadModule /etc/httpd/conf/httpd.conf

 

# have to place corresponding `LoadModule' lines at this location so the

# LoadModule foo_module modules/mod_foo.so

LoadModule auth_basic_module modules/mod_auth_basic.so

LoadModule auth_digest_module modules/mod_auth_digest.so

LoadModule authn_file_module modules/mod_authn_file.so

LoadModule authn_alias_module modules/mod_authn_alias.so

LoadModule authn_anon_module modules/mod_authn_anon.so

 

5.用单独的账号和组账号运行apache

 

apache默认用nobody和daemon账号，为了安全问题我们需要用一个受限制的账号来运行apache，我们可以先增加另外的账号

 

# groupadd http-web

# useradd -d /var/www/ -g http-web -s /bin/nologin http-web

 

然后在httpd.conf修改user和group

 

User http-web

Group http-web

 

6.使用allow和deny来限制对目录的访问，对于根目录

 

<Directory />

  Options None

  Order deny,allow

  Deny from all

</Directory>

 

7.禁用apache的符号链接，apache默认是开启符号链接的，下面关闭

 

Options -FollowSymLinks

 

打开：

 

# Enable symbolic links

Options +FollowSymLinks

 

8.禁用server side include和CGI

 

Options -Includes

Options -ExecCGI

 

对某个特定目录禁用

 

<Directory "/var/www/html/web1">

Options -Includes -ExecCGI

</Directory>

 

9.限制request请求包的大小，如果太大，可能会造成DOS攻击，在文件上传服务中需要限制上传文件的大小，通过参数LimitRequestBody设置

下面设置request大小为512k

 

<Directory "/var/www/myweb1/user_uploads">

  LimitRequestBody 512000

</Directory>

 

10.保护DDOS攻击，比如TimeOut ：设置request的超时时间，默认300s，MaxClients ：设置最大连接客户端默认512,，KeepAliveTimeout ：设置长连接的超时时间，默认5s，LimitRequestFields：设置请求header字段大小，默认100

 

11.开启apache日志，设置ErrorLog 和CustomLog 

 

<VirtualHost *:80>

DocumentRoot /var/www/html/example.com/

ServerName www.example.com

DirectoryIndex index.htm index.html index.php

ServerAlias example.com

ErrorDocument 404 /story.php

ErrorLog /var/log/httpd/example.com_error_log

CustomLog /var/log/httpd/example.com_access_log combined

</VirtualHost>

 

12.安装设置SSL

 

# openssl genrsa -des3 -out example.com.key 1024

# openssl req -new -key example.com.key -out exmaple.csr

# openssl x509 -req -days 365 -in example.com.com.csr -signkey example.com.com.key -out example.com.com.crt

 

<VirtualHost 172.16.25.125:443>

SSLEngine on

SSLCertificateFile /etc/pki/tls/certs/example.com.crt

SSLCertificateKeyFile /etc/pki/tls/certs/example.com.key

SSLCertificateChainFile /etc/pki/tls/certs/sf_bundle.crt

ServerAdmin [e-mail]

ServerName example.com

DocumentRoot /var/www/html/example/

ErrorLog /var/log/httpd/example.com-error_log

CustomLog /var/log/httpd/example.com-access_log common

</VirtualHost>