安全服务之安全基线及加固（四）Tomcat篇

0x01 前言

又到了木偶人哈克尔的笔记分享~有人期待嘛~

安全服务工程师大家应该都知道，对于他的岗位职责你可能会说不就是渗透测试啊、应急响应嘛.....实际上正式一点的企业对于安服的要求是包括了漏洞扫描、安全基线检查、渗透测试、安全加固、日志分析、恶意代码检查、应急响应、安全加固等差不多十个方面的内容的。内容多吗？我也觉得多！

对于基线加固说，不管是对于安服还是安全运营人员来说都是被要求的！接着上回的分享，一起来看看呗！

0x02 Apache与Tomcat的区别

1、apache是web服务器，tomcat是应用（java）服务器，它只是一个servlet(jsp也翻译成servlet)容器，可以认为是apache的扩展。

2、apache和tomcat都可以做为独立的web服务器来运行。但是apache不能解释java程序（jsp,serverlet）

3、Apache是普通服务器，本身只支持html即普通网页。不过可以通过插件支持PHP,还可以与Tomcat连通(单向Apache连接Tomcat,就是说通过Apache可以访问Tomcat资源。反之不然)

4、两者都是一种容器，只不过发布的东西不同。apache是html容器，功能像IIS一样，tomcat是jsp/servlet容器，用于发布JSP及JAVA的，类似的有IBM的webshere、EBA的Weblogic，sun的JRun等

5、apache和tomcat是独立的，在同一台服务器上可以集成。

（Apache安装啥的就没必要说了叭~）

0x03 删除文档和实例程序

安全基线项说明：删除文档和示例程序

检查方法：打开tomcat_home/webapps文件夹，默认存在docs和examples文件夹

加固方法：建议删除docs和examples文件夹

0x04 设置shutdown字符串

安全基线项说明：防止恶意用户telnet到8005端口后，发送SHUTDOWN命令停止tomcat服务

检查方法：打开tomcat_home/conf/server.xml，查看是否设置了复杂的字符串

加固方法：设置复杂的字符串，防止恶意用户猜测

0x05 检查控制台口令

安全基线项说明：加固tomcat控制台，设置复杂的口令

检查方法：

(1)如果不需要使用控制台

Tomcat 6.x/7.x：

默认通过:8080/manager/html可以访问tomcatmanager，如果不需要使用，建议删除tomcat_home/webapps/manager和host-manager文件夹；

(2)如果需要使用tomcatmanager

Tomcat 5.x/6.x:

打开tomcat_home/conf/tomcat-users.xml，查看用户密码复杂度

例如：

0x06 禁止列目录

安全基线项说明：防止直接访问目录时由于找不到默认主页而列出目录下所有文件

检查方法：打开应用程序的web.xml，查看listings是否设置为false

listings

false

0x07 日志审核

安全基线项说明：检查tomcat是否记录了访问日志

检查方法：tomcat的日志信息默认存放在tomcat_home/logs中，访问日志默认未开启

加固方法：

如果tomcat前端有Apache网站安全加固，Apache可以记录访问日志。

如果tomcat独立运行，可以开启tomcat访问日志，修改tomcat_home/conf/server.xml，取消注释：

prefix="localhost_access_log."suffix=".txt" pattern="common"resolveHosts="false"/>

启用access_log后，重启tomcat，在tomcat_home/logs中可以看到访问日志

注：这里记录的时间转换为北京时间需要+8小时

（编辑：晋中站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!