Web服务器漏洞和安全

最新推荐文章于 2024-09-07 00:04:40 发布

Mamba start

最新推荐文章于 2024-09-07 00:04:40 发布

阅读量1.9k

点赞数

分类专栏： web安全

原文链接：https://blog.csdn.net/qq_36119192/article/details/90742551

版权

web安全专栏收录该内容

24 篇文章 3 订阅

订阅专栏

Web服务器是Web应用的载体，如果这个载体出现安全问题，那么运行在其中的web应用程序的安全也无法得到保障。Web服务器安全，考虑的是应用部署时的运行环境安全，这个运行环境包括Web Server、脚本语言解释器、中间件等。

无论是哪种web服务器，都应该做到最小权限原则，即启动该web服务器的用户不应该是 root/Administrator 用户。并且需要保护好Web服务器的日志文件。

启动Web服务器时，应该以单独的用户身份运行，通常单独为Web服务器建立一个 User/Group。
保护好Web服务器的日志文件。一般来说，攻击者入侵成功后，做的第一件事就是清除入侵痕迹，修改、删除日志文件，因为Web服务器的日志文件应当妥善保管，比如实时发送到远程的日志服务器上。

Apache

Apache HTTP Server（以下简称Apache）是Apache软件基金会的一个开放源码的网页服务器，可以在大多数计算机操作系统中运行，是最流行的Web服务器软件之一。虽然近年来Nginx和Lighttpd等Web Server的市场份额增长得很快，但Apache仍然是这个领域中独一无二的巨头，互联网上大多数的Web应用依然运行在Apache上。

纵观Apache的漏洞史，它曾经出现过很多高危漏洞，但这些高危漏洞，大部分是由于Apache 的Module造成的，Apache核心的高危漏洞几乎没有。Apache有很多官方的与非官方的Module，默认启动的Module出现过高危漏洞的非常少，大多数的高危漏洞集中在第三方Module上。

检查Apache 的Module安装情况，根据最小权限原则，应该尽可能的减少不必要的Module。对于要使用的Module，则应该检查其对应版本是否存在已知的漏洞。

Apache的安全加固：

一是Apache Web Server本身是否安全，比如是否存在安全漏洞；
二是Apache Web Server是否提供了可使用的安全功能，这部分主要是检查Apache的配置是否得当，在安全性、可用性、稳定性之间取得平衡

Apache出现过的漏洞

CVE-2017-15715：文件解析漏洞
CVE-2011-3192：畸形Range选项处理远程拒绝服务漏洞

参考文章：Apache漏洞利用与安全加固实例分析

Tomcat

Tomcat漏洞预防：

1、删除webapps目录中的docs、examples、host-manager、manager等正式环境用不着的目录，这一步就可以解决大部分漏洞。有的网站没删除manager页面，并且管理员弱口令，导致直接Getshell。传送门——>Tomcat管理页面弱口令Getshell

2、解决“slow http denial of service attack”漏洞，缓慢的拒绝服务攻击漏洞。slow http denial of service attack漏洞是利用http post的时候，指定一个非常大的content-length，然后以很低的速度发包，比如10-100s发一个字节，让这种连接不断开，这样当客户端连接多了后，占用了webserver的所有可用连接，从而导制DOS，属于一种打拒绝服务攻击。

解决方法：

打开server.xml找到


 
 
   
   
    
    
   
   
   
   
    
    
     
     <Connector port="8080" protocol="HTTP/1.1"
    
    
   
   

   
   
    
    
   
   
   
   
    
    
     
     　　
     
     connectionTimeout=
     
     "20000"
    
    
   
   

   
   
    
    
   
   
   
   
    
    
     
     　　
     
     redirectPort=
     
     "8443" />