linux下tomcat安全配置

s4cr00t 2016-05-25 09:29:00

0x00 删除默认目录


安装完tomcat后,删除$CATALINA_HOME/webapps下默认的所有目录文件

rm -rf /srv/apache-tomcat/webapps/*

0x01 用户管理


如果不需要通过web部署应用,建议注释或删除tomcat-users.xml下用户权限相关配置

0x02 隐藏tomcat版本信息


方法一

修改$CATALINA_HOME/conf/server.xml,在Connector节点添加server字段,示例如下

方法二

修改$CATALINA_HOME/lib/catalina.jar::org/apache/catalina/util/ServerInfo.properties

默认情况下如图

用户可自定义修改server.info字段和server.number字段,示例修改如下图所示。

0x03 关闭自动部署


如果不需要自动部署,建议关闭自动部署功能。在$CATALINA_HOME/conf/server.xml中的host字段,修改unpackWARs="false" autoDeploy="false"

0x03 自定义错误页面


修改web.xml,自定义40x、50x等容错页面,防止信息泄露。

0x05 禁止列目录(高版本默认已禁止)


修改web.xml

0x06 AJP端口管理


AJP是为 Tomcat 与 HTTP 服务器之间通信而定制的协议,能提供较高的通信速度和效率。如果tomcat前端放的是apache的时候,会使用到AJP这个连接器。前端如果是由nginx做的反向代理的话可以不使用此连接器,因此需要注销掉该连接器。

0x07 服务权限控制


tomcat以非root权限启动,应用部署目录权限和tomcat服务启动用户分离,比如tomcat以tomcat用户启动,而部署应用的目录设置为nobody用户750。

0x08 启用cookie的HttpOnly属性


修改$CATALINA_HOME/conf/context.xml,添加<Context useHttpOnly="true">,如下图所示

测试结果

配置cookie的secure属性,在web.xml中sesion-config节点配置cooker-config,此配置只允许cookie在加密方式下传输。

测试结果

评论

M

mono 2016-05-25 09:42:43

这个paper好及时,赞!

小饼仔 2016-05-25 10:16:22


小r00to1 2016-05-25 10:51:29

good

X

xsser 2016-05-25 14:09:55

不错 小地方很深入

Q

qglfnt 2016-05-25 14:38:38

不错,学习了

S

ssr 2016-05-25 17:25:03

收藏了,感谢分享!

路人甲 2016-05-25 19:17:31

赞一个,不错~ 再问一句,0x04去哪里了? :)

V

vforbox 2016-05-26 10:18:47

mark 写的不错

C

cfan 2016-05-26 14:38:16

mark

气质鸵鸟 2016-05-30 09:24:06

降权的地方还可以深入一下

S

s4cr00t

自由,共享,平等

twitter weibo github wechat

随机分类

硬件与物联网 文章:40 篇
XSS 文章:34 篇
逻辑漏洞 文章:15 篇
网络协议 文章:18 篇
企业安全 文章:40 篇

扫码关注公众号

WeChat Offical Account QRCode

最新评论

草莓

收藏一下,目前见过最全的资料了

Y4tacker

Ps:纠错不是每个环境都是那样,之前很多时候/proc/self这些都可以,但是

苦咖啡

感谢大佬分享 863558996@qq.com

m1yuu

H

HaCky

stomppe 这部分有点问题,和官方文档有出入,文档中介绍开启这项功能,则会混

目录