Apache安全相关配置

冷不防 2022-06-11 06:10 237阅读 0赞

毋庸讳言，令Apache占领Web服务器半壁江山的一个重要原因就是它可以提供一个安全的Web操作环境。Apache团体为保证其安全性做了大量的工作。想当年，在此产品被发现存在一个安全缺陷时，Apache的开发人员就尽快地搞出了一个补丁。

然而，即管Apache已经堪称安全的产品，如果你在构建你的服务器时没有采取一些安全预防措施，这种Web服务器仍易于受到很多攻击。

在本文中，笔者将为你提供10个技巧，借此你可以保护自己的Apache Web服务器免于受到许多攻击。不过，必须谨记，你需要仔细地评估每一个技巧，以确保其适合于你的组织。

只安装所需要的

Apache的一个最大的特点是其灵活性和大量的可选择安装模块，这在涉及到安全问题时可成为 一个极大的弱点。你安装的越多，也就为潜在的攻击者创造了越大的攻击面。一个标准的Apache安装包含20多个模块，包括CGI特性，以及一些身份验证 机制。如果你不打算采用CGI，并且你只想采用静态的Web站点，不需要用户身份验证，你可能就不需要这些模块所提供的任何服务，因此在安装Apache 时请禁用这些模块。

如果你沿用了一个正在运行的Apache服务器，并且不想重新安装它，就应当仔细检查 httpd.conf配置文件，查找以LoadModule开头的行。请检查Apache的文档（也可以用Google、Yahoo等搜索），查找每个模 块的目的信息，找出那些你并不需要的模块。然后，重新启动Apache。

暴露程度最小化

Apache易于安装并且相当容易管理。不幸的是，许多Apache的安装由于为完全的陌生者 提供了关于自己服务器的太多“有帮助”的信息，例如Apache的版本号和与操作系统相关的信息。通过这种信息，一个潜在的攻击者就可以追踪特定的可以影 响你的系统的破坏性漏洞，特别是你没有能够保持所有补丁的更新的话情况更为严重。如此一来，攻击者无需反复试验就可以确切地知道你在运行什么，从而可以调 整其攻击方法。

要防止服务器广播敏感信息，一定要保证将httpd.conf中的“ServerSignature”指令设置为“off”。一次默认的Apache安装会将此指令设置为“off”，不过许多管理员却启用了它。

同样地，禁用目录浏览也是一个不错的注意。在目录浏览被启用时，访问一个并不包含其所需要文档的目录的用户，会看到此目录中完整的内容列表。无疑，你不应当将敏感材料以纯文本的形式存储到一个Web服务器上，除非你必须这样做，你也不应该允许人们看到超过其需要的内容。

目录浏览默认地是被启用的。要禁用这个特性，应编辑http.conf文件，而且对每一个“Directory”指令，应清除“Indexs”引用。

例如，在笔者的做实验用的Apache 2.2.4服务器上，这是默认的目录命令：

<table style="table-layout:auto!important; line-height:normal"> 
 <tbody style="line-height:normal"> 
  <tr style="line-height:normal"> 
   <td style="font-family:Arial; word-wrap:break-word; word-break:break-all; visibility:visible!important; zoom:1!important; font-size:9pt; line-height:normal"> <pre style="line-height:normal">&lt;Directory "/usr/local/apache/htdocs"&gt;
           Options Indexes FollowSymLinks
           AllowOverrride None
           Order allow,deny
           Allow from all
&lt;/Directory&gt;</pre> </td> 
  </tr> 
 </tbody> 
</table>

清除Indexes引用后的样子：

<table style="table-layout:auto!important; line-height:normal"> 
 <tbody style="line-height:normal"> 
  <tr style="line-height:normal"> 
   <td style="font-family:Arial; word-wrap:break-word; word-break:break-all; visibility:visible!important; zoom:1!important; font-size:9pt; line-height:normal"> <pre style="line-height:normal">&lt;Directory "/usr/local/apache/htdocs"&gt;
           Options FollowSymLinks
           AllowOverrride None
           Order allow,deny
           Allow from all
&lt;/Directory&gt;</pre> </td> 
  </tr> 
 </tbody> 
</table>

你也可以保留Indexes指令，并用一个破折号引导，从而禁用此指令（也就是“-Indexes”）。

禁用符号连接追踪

如果你是唯一一个校对Web内容的人员，而你在创建新的符号连接时又几乎不犯错误，你可能不会 担心此措施。不过，如果你有很多人员能够向你的站点增加内容，并非所有的人都像你一样谨慎从事，那么就会有一种风险，即某个用户可能偶然会创建一个符号连 接指向你的文件系统的一部分，而你又确实不想让人们看到这些文件。例如，如果你的Apache服务器的根目录中的某人创建了一个指向 “/”文件夹的符号连接，你该怎么办？

为了取消Apache服务器允许用户追踪符号连接的请求，应该在Directory命令中清除FollowSymlinks指令。

例如，在笔者的试验性的Apache 2.2.4服务器中，Directory命令如下：

在清除了FollowSymLinks引用后，就成为如下的样子：

<table style="table-layout:auto!important; line-height:normal"> 
 <tbody style="line-height:normal"> 
  <tr style="line-height:normal"> 
   <td style="font-family:Arial; word-wrap:break-word; word-break:break-all; visibility:visible!important; zoom:1!important; font-size:9pt; line-height:normal"> <pre style="line-height:normal">&lt;Directory "/usr/local/apache/htdocs"&gt;
           Options Indexes
           AllowOverrride None
           Order allow,deny
           Allow from all
&lt;/Directory&gt;</pre> </td> 
  </tr> 
 </tbody> 
</table>

如果一些用户需要跟踪符号连接的能力，可以考虑使用SymLinksIfOwnerMatch代替。

Listen指令具体化

在你第一次安装Apache时，httpd.conf包含一个“Listen 80”指令。应将其改变为“Listen mn.xx.yy.zz:80”，在这里“mn.xx.yy.zz”是你想让Apache监听其请求的IP地址。如果你的Apache运行在一个拥有多个 IP地址的服务器上时，这一点尤其重要。如果你不采取预防措施，默认的“Listen 80”指令告诉Apache监听每一个IP地址的80端口。

不过，这项措施有可能不适用于你的环境，应根据需要而定。

从httpd.conf中清除默认的注释

Apache 2.2.4中默认的httpd.conf文件有400多行。在这400行中，只有一小部分是实际的Apache指令，其余的仅是帮助用户如何恰当地在 httpd.conf中放置指令的注释。根据笔者的经验，这些注释有时起负面作用，甚至将危险的指令留存于文件中。笔者在所管理的许多Apache服务器 上将httpd.conf文件复制为其它的文件，如httpd.conf.orig等，然后完全清除多余的注释。文件变得更加容易阅读，从而更好地解决了 潜在的安全问题或者错误地配置文件。

没作任何设置前，查看web服务器请求文件头

引用

HTTP/1.1 200 OK  
Date: Sun, 27 Apr 2008 11:56:46 GMT  
Server: Apache/2.2.8 (Unix) DAV/2 PHP/5.2.5 with Suhosin-Patch  
Last-Modified: Sat, 20 Nov 2004 20:16:24 GMT  
ETag: "387a5-2c-3e9564c23b600"  
Accept-Ranges: bytes  
Content-Length: 44  
Content-Type: text/html

几乎把web服务器详细信息都暴出来了，如果没个版本的apache和php爆出严重漏洞，  
会给攻击者提供最有攻击价值的安全信息，这是非常危险的  
  
将apache的配置文件加上两行

引用

ServerTokens ProductOnly  
ServerSignature Off

重启apache让设置生效  
再次发出apache头信息请求

引用

HTTP/1.1 200 OK  
Date: Sun, 27 Apr 2008 11:57:40 GMT  
Server: Apache  
Last-Modified: Sat, 20 Nov 2004 20:16:24 GMT  
ETag: "387a5-2c-3e9564c23b600"  
Accept-Ranges: bytes  
Content-Length: 44  
Content-Type: text/html

可以看到apache版本号于已经没有了  
  
做到这点，我们还可以改变apache的版本，这就要修改apache的源代码了  
，在apache的源码包中找到ap\_release.h将

引用

\#define AP\_SERVER\_BASEPRODUCT "Apache"

修改为

引用

\#define AP\_SERVER\_BASEPRODUCT "Microsoft-IIS/5.0”

或者

引用

\#define AP\_SERVER\_BASEPRODUCT "Microsoft-IIS/6.0”

然后找到os/unix下的os.h文件，将其

引用

\#define PLATFORM "Unix"

修改为

引用

\#define PLATFORM "Win32“

然后重新编译，安装apache。  
最后修改httpd.conf配置文件，添加两行

引用

ServerTokens Prod  
ServerSignature Off

在发送头请求，会有什么，就不用我说了吧，嘿嘿，这叫偷天换日，  
从这点来说，php也是一样，同样可以通过这种方式改变一些系统信息，不过根据  
GPL开源的精神，这样做貌似不太好，还是保留apache和php版权信息吧。

引用

下面对php的配置文件php.ini进行配置  
默认情况下

引用

expose\_php = On

将其改为

引用

expose\_php = Off

为什么，可以看这段解释

引用

; Decides whether PHP may expose the fact that it is installed on the server  
; (e.g. by adding its signature to the Web server header).   It is no security  
; threat in any way, but it makes it possible to determine whether you use PHP  
; on your server or not.

然后禁止一些涉及php安全的函数

引用

disable\_functions = phpinfo, get\_cfg\_var   //禁止phpinfo和get\_cfg\_var等函数  
display\_errors = Off     //禁止爆出错误  
allow\_url\_fopen = Off   //这个关闭，就没有办法取远程内容了，但是可以用变通，用curl远程读取的方法做到  
safe\_mode = On   //开启安全模式，这个开了，可能会有些php功能没办法使用了

无论如何，还是要我们的程序设计的完美，一般来说，单纯更具对系统攻击很难，如果  
是程序有漏洞，那攻击就简单了