tomcat十大安全优化措施

标签: tomcat安全
43人阅读 评论(0) 收藏 举报
分类:

tomcat十大安全优化措施

1、telnet管理端口保护

使用telnet连接进来可以输入SHUTDOWN可以直接关闭tomcat,极不安全,必须关闭。可以修改默认的管理端口8005改为其他端口,修改SHUTDOWN指令为其他字符串。

# vi conf/server.xml
<Server port="8365" shutdown="IN0IT">

2 AJP连接端口保护

Tomcat 服务器通过Connector连接器组件与客户程序建立连接,Connector组件负责接收客户的请求,以及把Tomcat服务器的响应结果发送给客 户。默认情况下,Tomcat在server.xml中配置了两种连接器,一种使用ajp,要和apache结合使用,一种使用http。当使用http 时,可以限制ajp端口访问,在于防止线下测试流量被mod_jk转发至线上tomcat服务器。可以通过iptables规则限制ajp端口的访问,或 者直接将改行注释。

# vim conf/server.xml
    <!--<Connector port="8329" protocol="AJP/1.3" redirectPort="8443" />-->

3 禁用管理端

对于tomcat的web管理端属于高危安全隐患,一旦被攻破,黑客通过上传web shell方式取得服务器的控制权,那是非常可怕的。我们需要删除tomcat安装目录下conf/tomcat-user.xml或者删除webapps下默认的目录和文件。

# mv webapps/* /tmp

4 降权启动tomcat

tomcat 启动用户权限必须为非root,避免一旦tomcat服务被入侵,获取root权限,普通用户只能使用大于1024端口,如果要想使用80端口,可以使用 iptables规则进行转发,或者使用代理。一般情况下,tomcat前方有一个反向代理服务器nginx或者apache等。

参考:https://tomcat.apache.org/tomcat-8.0-doc/setup.html

复制代码
[root@tomcat ~]# cd /usr/local/tomcat/bin/
[root@tomcat bin]# tar xf commons-daemon-native.tar.gz
[root@tomcat bin]# cd commons-daemon-1.0.15-native-src/unix
[root@tomcat unix]# ./configure --with-java=/usr/java/jdk1.8.0_45/
[root@tomcat unix]# make
[root@tomcat unix]# cp jsvc /usr/local/tomcat/bin/
[root@tomcat bin]# cd /usr/local/tomcat/bin/
复制代码

编辑daemon.sh,首行加入以下内容,表示启动tomcat用户为nginx

TOMCAT_USER=nginx

启动关闭tomcat

# ./daemon.sh start | stop | version | run

查看启动情况

复制代码
# netstat -tnlp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address               Foreign Address             State       PID/Program name   
tcp        0      0 0.0.0.0:22                  0.0.0.0:*                   LISTEN      2460/sshd           
tcp        0      0 127.0.0.1:25                0.0.0.0:*                   LISTEN      1443/master         
tcp        0      0 :::8080                     :::*                        LISTEN      4287/jsvc.exec      
tcp        0      0 :::22                       :::*                        LISTEN      2460/sshd           
tcp        0      0 ::1:25                      :::*                        LISTEN      1443/master 
复制代码

5 文件列表访问控制

conf/web.xml文件中的default部分listings的配置必须为false,false为不列出目录文件,true为允许列出,默认为false。

       <init-param>
            <param-name>listings</param-name>
            <param-value>false</param-value>
        </init-param>

版本信息隐藏

对一些常见错误重定向,避免出错暴露服务器和版本信息。在conf/web.xml重定向403,404及500等错误到指定页面。

复制代码
<error-page>
    <error-code>404</error-code>
    <location>/404.html</location>
</error-page>
<error-page>
    <error-code>403</error-code>
    <location>/403.html</location>
</error-page>
<error-page>
    <error-code>500</error-code>
    <location>/500.html</location>
</error-page>
复制代码

7 脚本权限回收

去除其他用户对bin目录下可执行权限,防止其他用户起停tomcat

# chmod -R 744 bin/*

8 访问日志格式规范

开启Referer和User-Agetn是为了一旦出现安全问题能够更好的根据日志进行排查

复制代码
      <Host name="23.83.xx.xx"  appBase="webapps"
            unpackWARs="true" autoDeploy="true">
        <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
               prefix="localhost_access_log" suffix=".txt"
               pattern="%h %l %u %t &quot;%r&quot; %s %b %{Referer}i %{User-Agent}i %D" />
        <Context docBase="/usr/local/tomcat/webapps/FWYsWeb" path=""  reloadable="true"/>
        <Context docBase="/usr/local/tomcat/webapps/FWYsWeb" path="/FWYsWeb"  reloadable="true"/>
      </Host>
复制代码

9 设置信任IP白名单

只允许192.168.31.0网段访问

复制代码
     <Host name="192.168.31.128"  appBase="webapps"
            unpackWARs="true" autoDeploy="true">
        <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
               prefix="localhost_access_log" suffix=".txt"
               pattern="%h %l %u %t &quot;%r&quot; %s %b %{Referer}i %{User-Agent}i %D" />
        <Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="192.168.31.*"/>
        <Context docBase="/usr/local/tomcat/webapps/FWYsWeb" path=""  reloadable="true"/>
        <Context docBase="/usr/local/tomcat/webapps/FWYsWeb" path="/FWYsWeb"  reloadable="true"/>
      </Host>
查看评论

Tomcat 安全配置与性能优化

Tomcat 是 Apache软件基金会下的一个免费、开源的WEB应用服务器,它可以运行在 Linux 和 Windows 等多个平台上,由于其性能稳定、扩展性好、免费等特点深受广大用户喜爱。目前,很...
  • axl19530209
  • axl19530209
  • 2015-02-02 09:03:15
  • 818

Tomcat学习总结(11)——Linux下的Tomcat安全优化

1、web.xml配置及修改: 站点默认主页: index.html index.htm index.jsp 404及500设置 404 ...
  • u012562943
  • u012562943
  • 2016-12-07 13:35:05
  • 1830

Apache Tomcat 8.5 安全配置与高并发优化

https://www.renwole.com/archives/357 通常我们在生产环境中,Tomcat的默认配置显然不能满足我们的产品需求,所以很多时候都需要对Tomcat的配...
  • bluetjs
  • bluetjs
  • 2017-08-21 14:37:49
  • 4297

Mysql安全措施

root权限一定要只允许本机登陆,并且MySQL安全目录权限一定要只允许本地,root用户一定要密钥认证登陆系统(这涉及到系统安全的优化)而且MySQL的安装目录权限一定要合理设置,并且mysql用户...
  • chengxuyuanyonghu
  • chengxuyuanyonghu
  • 2017-02-20 21:30:58
  • 820

十大安全设计原则与安全编码原则

十大安全设计原则与安全编码原则
  • Testing_is_believing
  • Testing_is_believing
  • 2014-10-21 21:26:42
  • 2802

网站优化十大方法之关键字篇

1、 选择有效的关键字: 关键字是描述你的产品及服务的词语,选择适当的关键字是建立一个高排名网站的第一步。选择关键字的一个重要的技巧是选取那些常为人们在搜索时所用到的关键字。2、 理解关键字:在你收集...
  • stiwin
  • stiwin
  • 2004-10-07 13:37:00
  • 1299

优化Hibernate所鼓励的7大措施

优化Hibernate所鼓励的7大措施: 1.尽量使用many-to-one,避免使用单项one-to-many 2.灵活使用单向one-to-many 3.不用一对一,使用多对一代替一对一...
  • alinshen
  • alinshen
  • 2017-06-20 15:01:13
  • 107

优化Hibernate所鼓励的7大措施:

优化Hibernate所鼓励的7大措施: 1.尽量使用many-to-one,避免使用单项one-to-many 2.灵活使用单向one-to-many 3.不用一对一,使用多对一代替一对一...
  • fandoudou123
  • fandoudou123
  • 2016-03-15 15:51:44
  • 448

Java面试题Tomcat的优化经验

来源:传智论坛  Tomcat作为Web服务器,它的处理性能直接关系到用户体验,下面是几种常见的优化措施: 一、掉对web.xml的监视,把jsp提前编辑成Servlet。有富余物理内存的情况,加...
  • itcast_cn
  • itcast_cn
  • 2015-10-07 15:32:11
  • 9278

1.2主机网络安全

安全通常划分为两方面:主机安全和网络安全主机安全:保护合法用户对于授权资源的使用,防止非法入侵者对系统资源的侵占和破坏。对策:用户认证、文件访问权限控制、帐户审计网络安全:网络上主机之间的访问控制,防...
  • robur
  • robur
  • 2006-10-29 22:38:00
  • 881
    个人资料
    持之以恒
    等级:
    访问量: 3536
    积分: 204
    排名: 41万+