apache_安全配置规范

简介：这是apache 安全配置的详细页面，介绍了和安全,有关的知识，加入收藏请按键盘ctrl+D，谢谢大家的观看！要查看更多有关信息，请点击此处 一、确保你安装的是最新的补丁

如果门是敞开的话，在窗户上加锁就毫无意义。同样道理，如果你没有打补丁，继续下面的操作就没有什么必要。

二、隐藏apache的版本号及其它敏感信息

默认情况下，很多apache安装时会显示版本号及操作系统版本，甚至会显示服务器上安装的是什么样的apache模块。这些信息可以为黑客所用，并且黑客还可以从中得知你所配置的服务器上的很多设置都是默认状态。

这里有两条语句，你需要添加到你的httpd.conf文件中： serversignature off servertokens prod

serversignature出现在apache所产生的像404页面、目录列表等页面的底部。servertokens目录被用来判断apache会在server http响应包的头部填充什么信息。如果把servertokens设为prod，那么http响应包头就会被设置成： server：apache

如果你非常想尝试其它事物，你可以通过编辑源代码改成不是apache的其它东西，或者你可以通过下面将要介绍的mod_security实现。 和 \"apache 安全配置\" 有关的编程小帖士： strong>Application.removeOnApplicationExit

删除早先调用addOnApplicationExit方法加入的applicationExit事件处理器。 语法

public static void removeOnApplicationExit(EventHandler value) 参数 value

要删除的com.ms.wfc.core.EventHandler代表。 说明

在应用程序退出时，application exit事件被触发。这给应用程序提供了一个机会，使之能够在应用程序退出前删除所有的不能被垃圾收集（garbage collection）机制释放的对象。不能够通过

applicationExit事件处理方法阻止应用程序的关闭。想要阻止应用程序被关闭，你可以处理应用程序主

框架中的closing事件。 请参阅：addOnApplicationExit

三、确保apache以其自身的用户账号和组运行

有的apache安装过程使得服务器以nobody的用户运行，所以，假定apache和你的邮件服务器都是以nobody的账号运行的，那么通过apache发起的攻击就可能同时攻击到邮件服务器，反之亦然。 user apache group apache

四、确保web根目录之外的文件没有提供服务

我们不让apache访问web根目录之外的任何文件。假设你的所以web站点文件都放在一个目录下（例如/web），你可以如下设置： order deny,allow deny from all options none allowoverride none order allow,deny allow from all

注意，因为我们设置opitins none 和allowoverride none，这将关闭服务器的所有option和override。你现在必须明确把每个目录设置成option或者override。 五、关闭目录浏览

你可以在directory标签内用option命令来实现这个功能。设置option为none或者－indexes。 options -indexes 六、关闭includes

这也可以通过在directory标签内使用option命令来实现。设置option为none或者－includes。 options -includes 七、关闭cgi执行程序

如果你不用cgi，那么请把它关闭。在目录标签中把选项设置成none或-execcgi就可以： options -execcgi

八、禁止apache遵循符号链接

同上，把选项设置成none或-followsymlinks： options -followsymlinks 九、关闭多重选项

如果想关闭所有选项，很简单： options none

如果只想关系一些独立的选项，则通过将options做如下设置可实现： options -execcgi -followsymlinks -indexes 十、关闭对.htaccess文件的支持 在一个目录标签中实现： allowoverride none

如果需要重载，则保证这些文件不能够被下载，或者把文件名改成非.htaccess文件。比如，我们可以改成.httpdoverride文件，然后像下面这样阻止所有以.ht打头的文件： accessfilename .httpdoverride order allow,deny deny from all

satisfy all

十一、运行mod_security

run mod_security是o’reilly出版社出版的apache security一书的作者，ivan ristic所写的一个非常好用的一个apache模块。可以用它实现以下功能： ·简单过滤

·基于过滤的常规表达式 ·url编码验证 ·unicode编码验证 ·审计

·空字节攻击防止 ·上载存储限制 ·服务器身份隐藏 ·内置的chroot支持 ·更多其它功能

十二、关闭任何不必要的模块

apache通常会安装几个模块，浏览apache的module documentation，了解已安装的各个模块是做什么用的。很多情况下，你会发现并不需要激活那些模块。

找到httpd.conf中包含loadmodule的代码。要关闭这些模块，只需要在代码行前添加一个#号。要找到正在运行的模块，可以用以下语句： grep loadmodule httpd.conf

以下模块通常被激活而并无大用：mod_imap, mod_include, mod_info, mod_userdir, mod_status, mod_cgi, mod_autoindex