中职技能大赛网络安全A-Server

任务二十：Apache安全配置

任务环境说明；

       服务器场景:A-Server

       服务器场景操作系统：Linux

       服务器用户名：root       密码：123456

1.打开服务器场景，通过命令行清除防火墙规则。在服务器场景上查看apache版本，将查看到的服务版本字符串完整提交；

Flag：Apache/2.2.17 (Unix)

2.检测服务器场景中此版本apache是否存在显示banner信息漏洞，如果验证存在，修改配置文件将此漏洞进行加固，并重启Apache服务，将此加固项内容字符串(不包含状态)作为Flag提交；

发现有banner信息显示

我们使用find查找命令搜索httpd.conf（apache配置文件）的所在路径，然后使用vi编辑器打开这个配置文件

搜索ServerSignature，将该值修改为off关闭就可以了

使用命令service httpd restart，重启httpd服务

然后查看404是否还有banner信息漏洞

没有banner漏洞了

Flag：ServerSignature

4.检测服务器场景配置是否可以浏览系统⽬录，如果验证存在将此漏洞在Apache配置⽂件中 进⾏加固，寻找系统根⽬录/var/www 的配置属性，对该属性的原内容进⾏权限删除的⽅式加 固，并重启Apache服务，将此加固项删减字符串作为Flag提交；

很明显存在目录浏览。

继续编辑apache的配置文件，/usr/local/apache2/conf/httpd.conf，使用vi编辑器搜索Indexes，将原有的Options Indexes FollowSymLinks修改成Options FollowSymLinks.

Service httpd restart重启httpd服务，查看是否还有目录浏览。

没有目录浏览了。

Flag：Indexes

5.合理配置服务器场景apache的运⾏账户，并在httpd.conf中寻找运⾏帐户，将本服务配置 的账户名称作为Flag提交；

编辑apache的配置文件，使用vi编辑器搜索User，查看本地服务配置的账户名称

Flag：nobody

6.配置服务器场景中httpd.conf，限制禁止访问的文件夹，验证是否可以访问 /var/www/data 目录下index.php,如存在在此漏洞需进行加固，将此加固后完整字符串作为Flag提交；（提示：（<Directory /var/www/data>）***</Directory>*号为需要添加内容）

发现可以直接访问，我们继续编辑apache配置文件，然后再apache配置文件中加入一下内容

<Directory “/var/www/data”>

Deny from all

</Directory>

Server httpd restart重启httpd服务

然后再查看一下发现无权访问

Flag：Deny from all

7.配置服务器场景中httpd.conf，限制一些特殊目录的特定ip访问，如内部接口等。修改对data 目录的配置,重新启动apache 服务。将加固项固定部分作为Flag提交；

继续编辑apache配置文件，在上一题的下面添加Allow from 192.168.206.0/24（本地地址网段）

重启httpd服务，service httpd restart

再次访问，发现可以访问了

Flag：Allow from