文章目录
一、Nginx加固
1. 禁止显示版本
nginx禁止显示版本有两种方法
- 配置文件添加语句
vim /usr/local/nginx/conf/nginx.conf
server_tokens off;
- 源码编译的时候修改
/src/core/nginx.h
#define NGINX_VERSION "1.9.15"
#define NGINX_VER "nginx/" NGINX_VERSION
2. 禁止上传目录禁止php文件
- 单个目录
location ~ /upload/.*\.(php|php5)?$ {
deny all;
}
- 多个目录
location ~* ^/(administrator|upload)/.*\.(php)$ {
deny all;
}
3. 禁止访问所有目录下的敏感文件
location ~. *\.(sql|log|txt|rar|zip|sh|py|svn|git) {
deny all;
}
4. 禁用不必要的HTTP方法
if ($request_method !~ ^(GET|HEAD|POST)$)
{
return 405;
}
二、Tomcat加固
1. 补丁和漏洞管理
必须及时安装与安全性相关的tomcat补丁
http://tomcat.apache.org/lists.html#tomcat-announce
2. 设置Tomcat服务最小权限
- 创建不可登陆的用户
useradd -s /sbin/nologin tomcat
- 添加用户和组
/usr/lib/systemd/system/tomcat8.service
[Service]
下添加
User=tomcat
Group=tomcat
- 添加权限
chown -R tomcat:tomcat /usr/local/tomcat
3. 网络级限制
tomcat8上已经禁止所有,只允许本地访问。8以下的版本可以使用下面代码来实现
/usr/local/tomcat/webapps/manager/META-INF/context.xml
<Valve className="org.apache.catalina.valves.RemoteHostValve"
allow=".*\.admins\.domain\.com"
/>
4. 设置用户管理
tomcat-users.xml
<role rolename="manager-gui"/>
<role rolename="manager-script"/>
<role rolename="manager-jmx"/>
<role rolename="manager-status"/>
<user username="admin" password="123ccc" roles="manager-gui,manager-script,manager-jmx,manager-status"/>
5. 隐藏tomcat版本信息
修改$CATALINA_HOME/conf/server.xml
,在Connector节点添加server
字段
或者修改下面路径的jar中的配置文件
/usr/local/tomcat/lib/org/apache/catalina/util
6. 关闭自动部署
在$CATALINA_HOME/conf/server.xml
中的host字段unpackWARs
改为false
<Host name="localhost" appBase="webapps"
unpackWARs="true" autoDeploy="true">
7. session超时
/conf/web.xml
<session-config>
<session-timeout>20</session-timeout>
</session-config>
8. 启用cookie的HttpOnly属性
CATALINA_BASE/conf/context.xml
<Context useHttpOnly='true' .../>