apache 报错信息隐藏_关于Apache的安全配置问题

0x00 Apache应用介绍

Apache是世界使用排名第一的Web服务器软件。它可以运行在几乎所有广泛使用的计算机平台上，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。它快速、可靠并且可通过简单的API扩充，将Perl/Python等解释器编译到服务器中。

0x01 为什么要做安全配置

上两期我们讨论了数据库的安全配置，web中间件同样也存在因为安全配置不合适导致的安全问题。Apache的默认配置中存在一些安全问题，例如版本号信息泄露、未配置使用SSL协议等。因此安全配置Apache服务器能有效的减少安全威胁，下面将对Apache的安全配置进行讨论。

0x02 如何进行安全配置

1.Apache用户账号Shell无效

apache账号不能用作常规登录帐户，应该分配一个无效或nologin shell确保帐号不能用于登录。apache账号shell应为：/sbin/nologin或/dev/null。

加固方法：修改apache账号使用 nologin shell或例如 /dev/null 的无效shell，

# chsh -s /sbin/nologin apache

2.锁定Apache用户账号

Apache运行的用户帐号不应该有有效的密码，应该被锁定。

加固方法：使用passwd命令锁定apache账号

# passwd -l apache

3.配置错误日志

LogLevel指令用于设置错误日志的严重级别。ErrorLog指令设置错误日志文件名称。日志级别值为emerg，alert，crit，error，warn