Apache web服务器安全加固

作为最流行的Web服务器，Apache Server提供了较好的安全特性，使其能够应对可能的安全威胁和信息泄漏。
1、 采用选择性访问控制和强制性访问控制的安全策略
从Apache 或Web的角度来讲，选择性访问控制DAC（Discretionary Access Control）仍是基于用户名和密码的，强制性访问控制MAC（Mandatory Access Control）则是依据发出请求的客户端的IP地址或所在的域号来进行界定的。对于DAC方式，如输入错误，那么用户还有机会更正，从新输入正确的的密码；如果用户通过不了MAC关卡，那么用户将被禁止做进一步的操作，除非服务器作出安全策略调整，否则用户的任何努力都将无济于事。

2、Apache 的安全模块
Apache 的一个优势便是其灵活的模块结构，其设计思想也是围绕模块（Modules）概念而展开的。安全模块是Apache Server中的极其重要的组成部分。这些安全模块负责提供 Apache Server的访问控制和认证、授权等一系列至关重要的安全服务。
mod_access模块能够根据访问者的IP地址（或域名，主机名等）来控制对Apache服务器的访问，称之为基于主机的访问控制。
mod_auth模块用来控制用户和组的认证授权（Authentication）。用户名和口令存于纯文本文件中。mod_auth_db和mod_auth_dbm模块则分别将用户信息（如名称、组属和口令等）存于Berkeley-DB及DBM型的小型数据库中，便于管理及提高应用效率。
mod_auth_digest模块则采用MD5数字签名的方式来进行用户的认证，但它相应的需要客户端的支持。
mod_auth_anon模块的功能和mod_auth的功能类似，只是它允许匿名登录，将用户输入的E-mail地址作为口令。
SSL（Secure Socket Lager），被Apache所支持的安全套接字层协议，提供Internet上安全交易服务，如电子商务中的一项安全措施。通过对通讯字节流的加密来防止敏感信息的泄漏。但是，Apache的这种支持是建立在对Apache的API扩展来实现的，相当于一个外部模块，通过与第三方程序的结合提供安全的网上交易支持。
Apache具有灵活的设置，所有Apache的安全特性都要经过周密的设计与规划，进行认真地配置才能够实现。Apache服务器的安全配置包括很多层面，有运行环境、认证与授权设置等。

Apache的安装配置和运行示例如下：
1、以Nobody用户运行
一般情况下，Apache是由Root 来安装和运行的。如果Apache Server进程具有Root用户特权，那么它将给系统的安全构成很大的威胁，应确保Apache Server进程以最可能低的权限用户来运行。通过修改httpd.conf文件中的下列选项，以Nobody用户运行 Apache 达到相对安全的目的。
User nobody
Group -1

2、ServerRoot目录的权限
为了确保所有的配置是适当的和安全的，需要严格控制Apache 主目录的访问权限，使非超级用户不能修改该目录中的内容。Apache 的主目录对应于Apache Server配置文件httpd.conf的Server Root控制项中，应为：
Server Root /usr/local/apache

3、SSI的配置
在配置文件access.conf 或httpd.conf中的确Options指令处加入Includes NO EXEC选项，用以禁用 Apache Server 中的执行功能。避免用户直接执行Apache 服务器中的执行程序，而造成服务器系统的公开化。
Options Includes Noexec

4、阻止用户修改系统设置
在Apache 服务器的配置文件中进行以下的设置，阻止用户建立、修改 .htaccess文件，防止用户超越能定义的系统安全特性。
AllowOveride None
Options None
Allow from all
然后再分别对特定的目录进行适当的配置。

5、改变Apache 服务器的确省访问特性
Apache 的默认设置只能保障一定程度的安全，如果服务器能够通过正常的映射规则找到文件，那么客户端便会获取该文件，如http://local host/~ root/ 将允许用户访问整个文件系统。在服务器文件中加入如下内容：
order deny,ellow
Deny from all
将禁止对文件系统的缺省访问。

6、CGI脚本的安全考虑
CGI 脚本是一系列可以通过Web服务器来运行的程序。为了保证系统的安全性，应确保CGI的作者是可信的。对CGI而言，最好将其限制在一个特定的目录下，如 cgi-bin之下，便于管理；另外应该保证CGI目录下的文件是不可写的，避免一些欺骗性的程序驻留或混迹其中；如果能够给用户提供一个安全性良好的 CGI程序的模块作为参考，也许会减少许多不必要的麻烦和安全隐患；除去CGI目录下的所有非业务应用的脚本，以防异常的信息泄漏。

以上这些常用的举措可以给Apache Server 一个基本的安全运行环境，显然在具体实施上还要做进一步的细化分解，制定出符合实际应用的安全配置方案。
Apache Server默认情况下的安全配置是拒绝一切访问。假定Apache Server内容存放在/usr/local/apache/share 目录下，下面的指令将实现这种设置：
Deny from all
Allow Override None
则禁止在任一目录下改变认证和访问控制方法。 同样，可以用特有的命令Deny、Allow指定某些用户可以访问，哪些用户不能访问，提供一定的灵活性。当Deny、Allow一起用时，用命令Order决定Deny和Allow合用的顺序，如下所示：
1、 拒绝某类地址的用户对服务器的访问权（Deny）
如：Deny from all
Deny from test.cnn.com
Deny from 204.168.190.13
Deny from 10.10.10.0/255.255.0.0
2、 允许某类地址的用户对服务器的访问权（Allow）
如：Allow from all
Allow from test.cnn.com
Allow from 204.168.190.13
Allow from 10.10.10.0/255.255.0.0
Deny和Allow指令后可以输入多个变量。
3、简单配置实例：
order Allow, Deny
Allow from all
Deny from www.server110.com
指想让所有的人访问Apache服务器，但不希望来自www.server110.com的任何访问。
order Deny, Allow
Deny from all
Allow from test.cnn.com
指不想让所有人访问，但希望给test.cnn.com网站的来访。
概括的讲，用户认证就是验证用户的身份的真实性，如用户帐号是否在数据库中，及用户帐号所对应的密码是否正确；用户授权表示检验有效用户是否被许可访问特定的资源。在Apache中，几乎所有的安全模块实际上兼顾这两个方面。从安全的角度来看，用户的认证和授权相当于选择性访问控制。
建立用户的认证授权需要三个步骤：
1、建立用户库
用户名和口令列表需要存在于文件（mod_auth模块）或数据库（mod_auth_dbm模块）中。基于安全的原因，该文件不能存放在文挡的根目录下。如，存放在/usr/local/etc/httpd下的users文件，其格式与UNIX口令文件格式相似，但口令是以加密的形式存放的。应用程序 htpasswd可以用来添加或更改程序：
htpasswd –c /usr/local/etc/httpd/users martin
-c表明添加新用户，martin为新添加的用户名，在程序执行过程中，两次输入口令回答。用户名和口令添加到users文件中。产生的用户文件有如下的形式：
martin:WrU808BHQai36
jane:iABCQFQs40E8M
art:FadHN3W753sSU
第一域是用户名，第二个域是用户密码。
2、配置服务器的保护域
为了使Apache服务器能够利用用户文件中的用户名和口令信息，需要设置保护域（Realm）。一个域实际上是站点的一部分（如一个目录、文档等）或整个站点只供部分用户访问。在相关目录下的.htaccess文件或httpd.conf ( acces.conf ) 中的< Directory>段中，由AuthName来指定被保护层的域。在.htaccess文件中对用户文件有效用户的授权访问及指定域保护有如下指定：
AuthName “restricted stuff”
Authtype Basic
AuthUserFile /usr/local/etc/httpd/users
Require valid-user
其中，AuthName指出了保护域的域名（Realm Name）。valid-user参数意味着user文件中的所有用户都是可用的。一旦用户输入了一个有效的用户/口令时，同一个域内的其他资源都可以利用同样的用户/口令来进行访问，同样可以使两个不同的区域共用同样的用户/口令。
3、告诉服务器哪些用户拥有资源的访问权限
如果想将一资源的访问权限授予一组客户，可以将他们的名字都列在Require之后。最好的办法是利用组（group）文件。组的操作和标准的UNIX的组的概念类似，任一个用户可以属于一个和数个组。这样就可以在配置文件中利用Require对组赋予某些权限。如：
Require group staff
Require group staff admin
Require user adminuser
指定了一个组、几个组或一个用户的访问权限。
需要指出的是，当需要建立大批用户帐号时，那么Apache服务器利用用户文件数据库将会极大地降低效率。这种情况下，最好采用数据库格式的帐号文件，譬如 DBM数据库格式的文件。还可以根据需要利用db格式（mod_auth_db）的数据文件，或者直接利用数据库，如：mSQL （mod_auth_msql）或DBI兼容的数据库（mod_auth_dbi）。
DBM 文件是一种简单而标准的用于加快读取效率的保存信息的方法。文件中存放的每一个记录由两个部分组成部分：键和值。由于DBM的格式，使得与键相关的信息非常有效。在Web用户认证中，这里的键将是用户名，而与该键相关的值将是该用户经过加密的口令信息。从DBM文件中查找用户名和口令，要比从一个纯文本文件中查找有效得多。对于有很多用户的站点，这种方法将大大提高用户认证的效率。
1、在Apache服务器中增加DBM模块
在默认的条件下，Apache不使用DBM文件来完成用户认证，因此编译时一定要加入可选的DBM认证模块。重新配置Apache服务器文件，去掉其中的注释行
Module dbm_auth_module mod_auth_dbm.o前的“
”，并重新编译。但是，在编译之前，需要指出Apache DBM函数的位置。
2、创建DBM用户文件（假设文件名为users）
Apache提供了一个“dbmmanage”的程序，用于创建和管理DBM文件。其中：
Dbmmanage /usr/local/etc/httpd/usersdbm　　　　　　　　　　　创建DBM文件
Dbmmanage /usr/local/etc/httpd/users adduser martin hamster　新增用户
Dbmmanage /usr/local/etc/httpd/usersdbm delete martin　　　　删除用户
Dbmmanage /usr/local/etc/httpd/usersdbm view 　 显示DBM中所有用户
有了DBM数据库文件，还要替换目录访问控制，即将Apache配置文件（access.conf）中的AuthUserFile部分替换成： AuthUserFile /usr/local/etc/usersdbm 告诉Apache现在的用户文件是DBM的格式。
由于Apache服务器本身并没有内置ASP功能，因此我们需要第三方软件的合适的ASP模块来支持；目前Apache支持ASP的产品（模块）有这么几种：SUN ONE ASP、iASP、Apache::ASP、OpenASP、Mod_gb和ModVB等；本文就以SUN公司的 SUN ONE ASP 4.0产品为例，来讲解如何让ASP运行在Apache服务器上，操作系统的环境采用windows 2003 server。
Sun Java System Active Server Pages 4.0 （以前称为 Sun ONE Active Server Pages）是一个安全的跨平台 Active Server Pages (ASP) 引擎。Java System ASP 允许组织通过将部署的 ASP 应用程序从 Microsoft IIS 提升到在 Solaris 操作系统、Linux 或 Windows 上运行的 Java System Web Server（以前称为 Sun ONE Web Server）或 Apache，提高 Web 安全性。Java System ASP 与 Microsoft ASP 3.0 和诸如 Macromedia 的 Dreamweaver MX 、Microsoft FrontPage 等通用的 Web 撰写工具完全兼容。
Sun ONE Active Server Pages 4.0 允许在多种 Web 服务和平台上部署用 Active Server Pages 编写的 Web 应用。这就意味着 Microsoft Web 开发人员可以使用现有工具创建跨平台 Active Server Pages 应用，而机构可以在安全、高度可用的 Web 服务器和操作环境中部署基于 Active Server Pages 软件的内容。
说明：只有安装好JRE（SUN ONE ASP软件本身就已附带了，不需要另外再下载J2SE软件）的环境和Apache 服务器软件后，才能正式安装SUN ONE ASP 4.0.2版本的软件。
在SUN ONE ASP软件安装好之后，我们重起Apache Web Server；在下和33中，我们看到SUN ONE ASP整合到Apache中httpd.conf文件具体模块说明（是自动装载的）。这样就可以让Apache支持asp了.
Linux+Apache的稳定性、安全性和性能以及低廉的价格正在赢得越来越多的市场份额，使用Linux+Apache 作网站服务器的朋友也越来越多，而Apache作为一种http服务，相比FTP总是不容易控制，特别是当网站以http方式提供软件/音乐下载时，若是每个用户都开启多个线程并没有带宽的限制，将很快达到http的最大连接数或者造成网络壅塞，使得网站的许多正常服务都无法运行。不过，Apache的使用者们早已开发出了mod_limitipconn和mod_bandwidth两个模块，来控制http的并发连接数和用户所能够使用的带宽，下面将以 RedHat Linux 7.3+Apache 1.3.7来说明它们的使用方法。
一、使用mod_limitipconn限制Apache的并发连接数
mod_limitipconn可以控制每个IP地址同时连接服务器某一个目录的并发连接数，是一个非常有用的模块，其官方网页是http://dominia.org/djao/limitipconn.html，最新版本为for Apache 1.3.7的0.04，并且还有支持Apache 2.x的模块下载，由于本人使用Apache 1.3.7版本，所以请使用2.x版本Apache的朋友到其官方网站察看具体的使用方法。
mod_limitipconn for Apache 1.3x提供三种安装方式，分别是tar包、rpm安装文件和rpm源文件，由于rpm包只能用在 RedHat 7.x 版本，并且不支持检测代理服务器，所以我们一般都使用tar包的安装方式。
以管理员方式登陆服务器，然后在服务器上运行 wget http://dominia.org/djao/limit/mod_limitipconn-0.04.tar.gz 将mod_limitipconn的tar包下载到服务器，然后按照再运行tar zxvf mod_limitipconn-0.04.tar.gz将 tar包解压缩，会在当前目录下生成mod_limitipconn-0.04目录，然后cd mod_limitipconn-0.04进入此目录，下一步就是使用apxs将目录中的mod_limitipconn.c编译。这时，我们需要确定自己的Apache安装在那个目录，并且找到apxs命令放在哪里。
通过命令whereis apxs，我们可以确定apxs命令的路径，如我的apxs命令所在为/usr/sbin/apxs，则输入/usr/sbin/apxs -c -i -a mod_limitipconn.c对mod_limitipconn.c进行编译，此命令会自动在你Apache的配置文件httpd.conf中加入需要的信息，并且将生成的mod_limitipconn.so模块拷贝到Apache的模块目录。不过为了确认此命令是否正常运作，请首先检查自己的Apache模块目录（我的是/usr/lib/apache），看内部是否含有 mod_limitipconn.so文件，没有的话请将mod_limitipconn-0.04目录中生成的文件拷贝到此处。
刚才命令自动生成的httpd.conf可能有些错误，在我的系统中，它将LoadModule limitipconn_module modules/mod_limitipconn.so放在了
LoadModule python_module modules/mod_python.so
之间，而将AddModule mod_limitipconn.c放在了AddModule mod_python.c
之间，直接造成了mod_limitipconn模块不能正常运行，所以请将这两行分别移动到没有< /IfDefine>的相应行中，然后请确认mod_status模块已经加载，并且在mod_status下添加了 ExtendedStatus On这一行。这时我们的mod_limitipconn模块就安装完毕，下一步就是对某个目录进行并发连接数的设置了。 mod_limitipconn可以对全局和虚拟主机进行不同的限制，其语法结构都是
所限制的目录所在，此处表示主机的根目录
MaxConnPerIP 3
所限制的每个IP并发连接数为3个
NoIPLimit image/*
对图片不做IP限制
所限制的目录所在，此处表示主机的/mp3目录
MaxConnPerIP 1
所限制的每个IP并发连接数为1个
OnlyIPLimit audio/mpeg video
该限制只对视频和音频格式的文件
当对全局进行限制时，将这段代码放在httpd.conf文件没有VirtualHost的地方，若是对某个虚拟主机进行限制，请将其放在< VirtualHost xxx.xxx.xxx.xxx>和之间，我们可以通过更改Location以及MaxConnPerIP方便的控制所限制的目录和并发连接数。 最后，只要重新启动Apache服务，并发连接数的限制就可以生效。
二、使用mod_bandwidth控制Apache的带宽
Apache 1.3.7实际上带有mod_bandwidth支持，只是没有此模块的so文件，我们所做的就是下载mod_bandwidth的源文件进行编译，并对mod_bandwidth进行相应的设置。
在下载之前，请先确认自己的Apache配置文件httpd.conf中是否含有
LoadModule bandwidth_module modules/mod_bandwidth.so
以及AddModule mod_bandwidth.c
若是没有，请加上 LoadModule bandwidth_module
libexec/apache/mod_bandwidth.so
AddModule mod_bandwidth.c
并且这两行必须分别加在相应区域的最前面，使得这个模块以最低的优先级运行。（不过1.3.7的Apache应该有，呵呵）。
确认后，请输入 wget ftp://ftp.cohprog.com/pub/apache/module/1.3.0/mod_bandwidth.c 将源文件下载到服务器，然后请使用apxs对其进行编译，编译方法和mod_limitipconn的基本相同，如我输入/usr/sbin/apxs -c mod_bandwidth.c -o /usr/lib/apache(Apache的模块目录），编译程序会自动将编译成功的 mod_bandwidth.so文件放到Apache的模块目录，您也可以自己确认一下，若是不正常，拷贝过去即可。
mod_bandwidth运行时需要一些特定的目录，按照默认情况，请运行以下命令创建并更改目录的权限：
mkdir /tmp/apachebw
mkdir /tmp/apachebw/link
mkdir /tmp/apachebw/master
chmod -R 777 /tmp/apachebw
然后再打开httpd.conf文件，加上以下内容
BandWidthDataDir “/tmp/apachebw/”
BandWidthModule on
这时，我们就能够对所需要限制带宽的目录进行相应的设置，此处的目录请使用服务器的绝对路径。如我们想限制服务器/home/www/thinkjam/download/soft目录的下载速度，也就是限制网址http://download.thinkjam.org/soft目录下软件的下载速度，则为httpd.conf文件增加以下内容
BandWidth thinkjam.org 0
来自thinkjam.org的下载不受速度限制
BandWidth 210.51.21 0
来自210.51.21网段的下载不受速度限制
BandWidth all 327680
来自其它网段的速度都限制为327680Byte，即30KB/s
设置完毕后，重新启动Apache服务，即可生效。
mod_bandwidth还有许多其它有用的参数，如在中间加上MaxConnection 120则可以限制某个目录的最多连接数，当超过指定连接数时，拒绝新的连接，此参数与mod_limitipconn模块结合可以控制某个目录的最多连接人数。
其它的参数请朋友们到其官方网站 http://www.cohprog.com/v3/bandwidth/doc-en.html 察看相关的文档。
Apache的功能确实强大，很多功能都可以通过添加模块来实现，在 http://modules.apache.org/ 可以找到更多的模块，我们也可以编写自己的模块来实现相应的功能。
apache服务器实现用户验证
　　apache服务器已经内置用户验证机制，大家只要适当的加以设置，便可以控制网站的某些部分要用户验证。大家只要跟着我一步步做下来就应该能轻松实现用户验证。
第1步：
我们在/var/www(apache的主页根目录)下建立一个test目录
mkdir /var/www/test
第2步
然后我们编辑httpd.conf
添加
Alias /test"/var/www/test"
Options Indexes MultiViews
AllowOverride AuthConfig
表示进行身份验证
order allow,deny
Allow from all

AllowOverride AuthConfig 表示进行身份验证 这是关键的设置
第3步
在/var/www/test创建.htaccess文件
vi /var/www/test/.htaccess
AuthName “frank share web”
AuthType Basic
AuthUserFile /var/www/test/.htpasswd
require valid-user
AuthName 描述，随便写
AuthUserFile /var/www/test/.htpasswd
require valid-user 或者 require user frank 限制是所有合法用户还是指定用户
密码文件推荐使用.htpasswd,因为apache默认系统对“.ht”开头的文件默认不允许外部读取，安全系数会高一点哦。
第4步
就是创建apache的验证用户
htpasswd -c /var/www/test/.htpasswd frank
第一次创建用户要用到-c 参数 第2次添加用户，就不用-c参数
如果你们想修改密码，可以如下
htpasswd -m .htpasswd frank
第5步：
ok，重启apache服务，然后访问 http://你的网站地址/test 如果顺利的话，应该能看到一个用户验证的弹出窗口，只要填入第4步创建的用户名和密码就行
后话，为了服务器的性能，一般不推荐使用AllowOverride AuthConfig或者AllowOverride ALL，因为这会使服务器会不断的去寻找.htaccess,从而影响服务器的效能，一般我们把一些后台管理界面或者其他特殊目录可能需要加验证这个需求。

转载请注明原文地址：http://www.server110.com/apache/201308/550.html