eSafe白帽駭客資安網-網絡安全背後的巨人,提供駭客,網站入侵測試,網站被駭,網站漏洞,駭客入侵,資訊安全,入侵,ecshop,wordpress,漏洞修復,木馬清除,資安服務

tomcat安全配置 高級網站安全部署

 
 
       Apache tomcat是JAVA開發,JSP運行首選的web環境,國內很多網站,以及平台

都在使用
tomcat 環境來運行網站,高效,穩定,安全,贏得了國內許多客戶。
 
 
tomcat 該如何安全設置與部署呢?
 
eSafe白帽資安網教您一步一步把tomcat安全做到極致。
 
現在tomcat最新版本是 Apache Tomcat 9.0,M21,
 
http://tomcat.apache.org/download-90.cgi  基於最新的版本下面進行安全配置。
 
如果以前用的是7.0 8.0 8.5老版本的tomcat環境,請盡快升級到9.0 M21版本,並修補
 
 
漏洞。首先打開 tomcat_home/webapps 文件夾,默認存在 docs 和 examples 文件夾,
 
這兩個文件是文檔跟示例程序,其實沒有什麼用,建議直接刪除。
 
 
 
1.Apache tomcat 加強運行賬戶的安全權限設置

 
Linux系統,創建一個tomcat用戶安全組,權限設置普通,賦值於tomcat運行服務進
 
程。
 
windows 2003 2008系統的apache tomcat安全設置,控制面板裡打開計算機管理,添
 
 
加一個用戶例如:tomcat用戶,設置普通用戶權限,然後在服務裡找到apache tomcat 
 
 
9.0服務名稱,並右鍵屬性,設置登錄身份,把剛才新建立的tomcat賬戶跟密碼寫上,並
 
 
確定,應用即可。eSafe白帽資安網公司是一家專注於:主機安全、網站安全、網站安全檢測
 
、網站安全測試、於一體的安全服務提供商。
 
 
2. 禁止apache tomcat 網站列出目錄
 
 
tomcat默認的設置,是可以直接列目錄的,導致駭客可以看到一些私密的文件,建議修
 
 
改web.xml文件,找到listings,然後修改listings為false,即可。這樣駭客就列不出
 
 
目錄了。
 
 
3. 檢查Tomcat的管理賬戶密碼
 
 
默認通過http://網站:8080/manager/html 可以直接訪問管理頁面,如果不使用,
 
 
建議刪除 tomcat_home/webapps/manager 和host-manager 文件夾。
 
如果使用 tomcat manager,打開tomcat_home/conf/tomcat-users.xml,修改用戶
 
 
密碼,加強密碼的複雜程度,例如:
 
<role rolename="manager"/>
 
<user username="tomcat" password="複雜的密碼" roles="manager"/>
 
在 tomcat-users.xml 中為所有用戶設置數字大小寫字符16位以上的複雜密碼。
 
 
默認通過http://網站:8080/admin 也是可以訪問tomcat admin的管理頁面,如果不使
 
 
用的話,建議直接刪除tomcat_home/webapps/admin文件夾。
 
 
4.開啟tomcat的安全日誌功能,當被攻擊時可以查看日誌查找問題所在
 
 
安全日誌存到 tomcat_home/logs 中,訪問日誌默認是開啟的,檢查下是否有這個文件
 
 
夾。eSafe白帽資安網公司是一家專注於:主機安全、網站安全、網站安全檢測、網站安全測
 
試、於一體的安全服務提供商。
 
 
5. 設置apache tomcat安全的字符串
 
 
防止駭客連接到主機的8005端口來發送linux指令 比如:shutdown指令來惡意停止
 
 
tomcat的運行服務。打開 tomcat_home/conf/server.xml文件,設置一個複雜的賬號密
 
碼。
 
<Server port="8005" shutdown="複雜的密碼(設置數字大小寫字符16位以上的複雜密碼
 
)">  防止駭客碰撞或者猜測密碼。
 
 
分享:

相關推薦