1 前言
随着公司内部使用 Tomcat 作为 web 应用服务器的规模越来越大,为保证 Tomcat 的配置安全,防止信息泄露,恶性攻击以及配置的安全规范,特制定此 Tomcat 安全配置规范。
定位:仅对 tomcat 的安全配置部分进行标准规范。
适用版本范围:tomcat 6.*
2 Tomcat 安装规范
注:所有线上运行 tomcat 必须严格安装本标准执行。
2.1 tomcat 用户设置
[tomcat@tuan-node1 ~]
[tomcat@tuan-node1 ~]
[tomcat@tuan-node1 ~]
[tomcat@tuan-node1 ~] $ id tomcat
uid=501( tomcat) gid=501( tomcat) groups=501( tomcat)
[tomcat@tuan-node1 ~] $ pwd
/ tomcat
2.2 tomcat 安装
[tomcat@tuan-node1 ~] $ wget ftp:/ / 10. 6. 9. 111/soft/apache-tomcat-6. 0. 35. tgz
[tomcat@tuan-node1 ~] $ wget ftp:/ / 10. 6. 9. 111/soft/apache-tomcat-6. 0. 35. tgz. md5
[tomcat@tuan-node1 ~] $ md5sum - c apache-tomcat-6. 0. 35. tgz. md5
apache-tomcat-6. 0. 35. tar. gz: OK
[tomcat@tuan-node1 ~] $ wget ftp:/ / 10. 6. 9. 111/soft/jdk1. 6. 0_22. tgz
[tomcat@tuan-node1 ~] $ wget ftp:/ / 10. 6. 9. 111/soft/jdk1. 6. 0_22. tgz. md5
[tomcat@tuan-node1 ~] $ md5sum - c jdk1. 6. 0_22. tgz. md5
jdk1. 6. 0_22. tgz: OK
[tomcat@tuan-node1 ~] $ tar xzf apache-tomcat-6. 0. 35. tgz
[tomcat@tuan-node1 ~] $ tar xzf jdk1. 6. 0_22. tgz
2.3 tomcat 配置
[tomcat@tuan-node1 ~] $ vim . bash_profile 增加以下内容:
export JAVA_HOME=/ tomcat/jdk1. 6. 0_22
export PATH=$JAVA_HOME / bin:$JAVA_HOME / jre/bin:$PATH
export CLASSPATH=. $CLASSPATH :$JAVA_HOME / lib:$JAVA_HOME / jre/lib:$JAVA_HOME / lib/tools. jar
export TOMCAT_HOME=/ tomcat/apache-tomcat-6. 0. 35
[tomcat@tuan-node1 ~] $source . bash_profile
[tomcat@tuan-node1 ~] $ java - version
java version "1.6.0_26"
Java( TM) SE Runtime Environment ( build 1. 6. 0_26-b03)
Java HotSpot( TM) 64-Bit Server VM ( build 20. 1-b02, mixed mode)
2.4 应用程序配置
[tomcat@tuan-node1 ~] $ mkdir webapps
将应用程序放置在/tomcat/目录下。建立相应的目录如团购 wmw_tuan,静态化 wmw_static,并修改 server.xml,对应好目录即可。
2.5 启动 Tomcat:
[tomcat@tuan-node1 ~] $ / tomcat/apache-tomcat-6. 0. 35/bin/startup. sh
Using CATALINA_BASE: / tomcat/apache-tomcat-6. 0. 35
Using CATALINA_HOME: / tomcat/apache-tomcat-6. 0. 35
Using CATALINA_TMPDIR: / tomcat/apache-tomcat-6. 0. 35/temp
Using JRE_HOME: / tomcat/jdk1. 6. 0_22
Using CLASSPATH: / tomcat/apache-tomcat-6. 0. 35/bin/bootstrap. jar
3 安全设置规范
1. telnet 管理端口保护(强制)
类别 配置内容及说明 标准配置 备注 telnet 管理端口保护 1.修改默认的 8005管理端口为不易猜测的端口(大于1024); <Server port="8527"shutdown=“dangerous”> 1.以上配置项的配置内容只是建议配置,可以按照服务实际情况 2.修改 SHUTDOWN指令为其他字符串; 进行合理配置,但要求端口配置在 8000~8999 之间;
2. ajp 连接端口保护(推荐)
类别 配置内容及说明 标准配置 备注 Ajp 连接端口保护 1.修改默认的 ajp 8009端口为不易冲突的大于 1024 端口;2.通过 iptables 规则限制 ajp 端口访问的权限仅为线上机器; <Connectorport="8528"protocol=“AJP/1.3” /> 以上配置项的配置内容仅为建议配置,请按照服务实际情况进行合理配置,但要求端口配置在8000~8999 之间;;保护此端口的目的在于防止线下的测试流量被mod_jk 转发至线上 tomcat 服务器;
3. 禁用管理端(强制)
类别 配置内容及说明 标准配置 备注 禁用管理端 1. 删除默认的{Tomcat 安装目录}/conf/tomcat-users.xml 文件,重启tomcat 后将会自动生成新的文件;2. 删除{Tomcat 安装目录}/webapps 下默认的所有目录和文件;3.将 tomcat 应用根目录配置为 tomcat安装目录以外的目录; <Context path="“docBase=”/home/work/local/tomcat_webapps"debug="0"reloadable="false"crossContext=“true”/> 对于前段 web 模块,Tomcat 管理端属于tomcat 的高危安全隐患,一旦被攻破,黑客通过上传 web shell 的方式将会直接取得服务器的控制权,后果极其严重;
4. 降权启动(强制)(监牢模式)
把服务以普通用户的身份运行。1-1024 端口特权端口只能 root 使用
类别 配置内容及说明 标准配置 备注 降权启动 1.tomcat 启动用户权限必须为非 root 权限,尽量降低 tomcat启动用户的目录访问权限;2.如需直接对外使用80 端口,可通过普通账号启动后,配置iptables 规则进行转发; - 避免一旦 tomcat 服务被入侵,黑客直接获取高级用户权限危害整个 server 的安全;
5. 文件列表访问控制(强制)
文件列表 nginx autoindex
类别 配置内容及说明 标准配置 备注 文件列表访问控制 1.conf/web.xml 文件中 default 部分listings 的配置必须为 false; listingsfalse false 为不列出目录文件,true 为允许列出,默认为false;
6. 版本信息隐藏(强制)
tomcat 报错的时候 显示包含版本信息的页面
类别 配置内容及说明 标准配置 备注 版本信息隐藏 1.修改conf/web.xml,重定向 403、404 以及 500 等错误到指定的错误页面;2.也可以通过修改应用程序目录下的WEB-INF/web.xml下的配置进行错误页面的重定向; <error-page><error-code>403</error-code><location>/forbidden.jsp</location></error-page><error-page><error-code>404</error-code>location>/notfound.jsp</location></error-page><error-page><error-code>500</error-code><location>/systembusy.jsp</location></error-page> 在配置中对一些常见错误进行重定向,避免当出现错误时 tomcat 默认显示的错误页面暴露服务器和版本信息;必须确保程序根目录下的错误页面已经存在;
7. Server header 重写(推荐)
类别 配置内容及说明 标准配置 备注 Server header重写 在 HTTP Connector配置中加入 server的配置; server=“webserver” 当 tomcat HTTP端口直接提供web 服务时此配置生效,加入此配置,将会替换 http 响应Server header 部分的默认配置,默认是Apache-Coyote/1.1
8. 访问限制(可选)
nginx allow deny
类别 配置内容及说明 标准配置或操作 备注 访问限制 通过配置,限定访问的 ip 来源 <Context path=“” docBase="/home/work/tomcat"debug=“0” reloadable=“false” crossContext=“true”><ValveclassName="org.apache.catalina.valves.RemoteAddrValve"allow=“61.148.18.138,61.135.165." deny=" .. .*”/></Context> 通过配置信任ip 的白名单,拒绝非白名单 ip的访问,此配置主要是针对高保密级别的系统,一般产品线不需要;
9. 起停脚本权限回收
8.5 以后版本 700
类别 配置内容及说明 标准配置或操作 备注 起停脚本权限回收 去除其他用户对Tomcat 的 bin 目录下shutdown.sh、startup.sh、catalina.sh的可执行权限; chmod -R 700 tomcat/bin/* 防止其他用户有起停线上Tomcat 的权限;
10. 访问日志格式规范(推荐)
类别 配置内容及说明 标准配置或操作 备注 访问日志格式规范 开启 Tomcat默认访问日志中的Referer 和User-Agent记录 <ValveclassName=“org.apache.catalina.valves.AccessLogValve"directory=“logs"prefix=“localhost_access_log.” suffix=”.txt"pattern=”%h %l %u %t %r %s %b %{Referer}i %{User-Agent}i %D" resolveHosts=“false”/> 开启 Referer和 User-Agent是为了一旦出现安全问题能够更好的根据日志进行问题排查;
11. 附录:建议配置及标准执行方案
1. 配置部分(${ CATALINA_HOME }conf/server.xml)
<Server port="8527" shutdown=" dangerous" >
<! -- Define a non-SSL HTTP/1. 1 Connector on port 8080 -- >
<Connector port="8080" server="webserver" / >
<! -- Define an AJP 1. 3 Connector on port 8528 -- >
<! -- Define an accesslog -- >
<Valve className="org.apache.catalina.valves.AccessLogValve"
directory="logs" prefix="localhost_access_log." suffix=".txt"
pattern="%h %l %u %t %r %s %b %{Referer}i %{User-Agent}i %D"
resolveHosts="false" / >
<Connector port="8528" protocol="AJP/1.3" / >
<Context path="" docBase="/home/work/local/tomcat_webapps" debug="0" reloadable="false"
crossContext="true" / >
2. 配置部分(${ CATALINA_HOME }conf/web.xml 或者 WEB-INF/web.xml)
<init-param >
<param - name>listings</ param - name>
<param - value>false</ param - value>
</ init-param >
<error-page>
<error-code>403</ error-code>
<location>/ forbidden. jsp</ location>
</ error-page>
<error-page>
<error-code>404</ error-code>
<location>/ notfound. jsp</ location>
</ error-page>
<error-page>
<error-code>500</ error-code>
<location>/ systembusy. jsp</ location>
</ error-page>
3. 删除如下 tomcat 的默认目录和默认文件
tomcat/webapps/*
tomcat/conf/tomcat-user. xml
4. 去除其他用户对 tomcat 起停脚本的执行权限
chmod 744 –R tomcat/bin/*