Tomcat安全规范

1、telnet管理端口保护

使用telnet连接进来可以输入SHUTDOWN可以直接关闭tomcat,极不安全,必须关闭。可以修改默认的管理端口8005改为其他端口,修改SHUTDOWN指令为其他字符串。

vi conf/server.xml

<Server port="8365" shutdown="IN0IT">

2 AJP连接端口保护

Tomcat 服务器通过Connector连接器组件与客户程序建立连接,Connector组件负责接收客户的请求,以及把Tomcat服务器的响应结果发送给客 户。默认情况下,Tomcat在server.xml中配置了两种连接器,一种使用ajp,要和apache结合使用,一种使用http。当使用http 时,可以限制ajp端口访问,在于防止线下测试流量被mod_jk转发至线上tomcat服务器。可以通过iptables规则限制ajp端口的访问,或 者直接将改行注释。

vim conf/server.xml

<!--<Connector port="8329" protocol="AJP/1.3" redirectPort="8443" />-->

3 禁用管理端

对于tomcat的web管理端属于高危安全隐患,一旦被攻破,黑客通过上传web shell方式取得服务器的控制权,那是非常可怕的。我们需要删除tomcat安装目录下conf/tomcat-user.xml或者删除webapps下默认的目录和文件。

# mv webapps/* /tmp

4 降权启动tomcat

tomcat 启动用户权限必须为非root,避免一旦tomcat服务被入侵,获取root权限,普通用户只能使用大于1024端口,如果要想使用80端口,可以使用 iptables规则进行转发,或者使用代理。一般情况下,tomcat前方有一个反向代理服务器nginx或者apache等。

[[email protected] ~]# cd /usr/local/tomcat/bin/

[[email protected] bin]# tar xf commons-daemon-native.tar.gz

[[email protected] bin]# cd commons-daemon-1.0.15-native-src/unix

[[email protected] unix]# ./configure --with-java=/usr/java/jdk1.8.0_45/

[[email protected] unix]# make

[[email protected] unix]# cp jsvc /usr/local/tomcat/bin/

[[email protected] bin]# cd /usr/local/tomcat/bin/

编辑daemon.sh,首行加入以下内容,表示启动tomcat用户为nginx

TOMCAT_USER=nginx

启动关闭tomcat

# ./daemon.sh start | stop | version | run

5 文件列表访问控制

conf/web.xml文件中的default部分listings的配置必须为false,false为不列出目录文件,true为允许列出,默认为false。

<init-param>

<param-name>listings</param-name>

<param-value>false</param-value>

</init-param>

6 版本信息隐藏

对一些常见错误重定向,避免出错暴露服务器和版本信息。在conf/web.xml重定向403,404及500等错误到指定页面。

<error-page>

<error-code>404</error-code>

<location>/404.html</location>

</error-page>

<error-page>

<error-code>403</error-code>

<location>/403.html</location>

</error-page>

<error-page>

<error-code>500</error-code>

<location>/500.html</location>

</error-page>

7 脚本权限回收

去除其他用户对bin目录下可执行权限,防止其他用户起停tomcat

# chmod -R 744 bin/*

8 访问日志格式规范

开启Referer和User-Agetn是为了一旦出现安全问题能够更好的根据日志进行排查

<Host name="localhost"  appBase="webapps"

unpackWARs="true" autoDeploy="true">

<Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"

prefix="localhost_access_log" suffix=".txt"

pattern="%h %l %u %t &quot;%r&quot; %s %b %{Referer}i %{User-Agent}i %D" />

<Context docBase="/usr/local/tomcat/webapps/FWYsWeb" path=""  reloadable="true"/>

<Context docBase="/usr/local/tomcat/webapps/FWYsWeb" path="/FWYsWeb"  reloadable="true"/>

</Host>

9 设置信任IP白名单

只允许192.168.31.0网段访问

<Host name="192.168.31.128"  appBase="webapps"

unpackWARs="true" autoDeploy="true">

<Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"

prefix="localhost_access_log" suffix=".txt"

pattern="%h %l %u %t &quot;%r&quot; %s %b %{Referer}i %{User-Agent}i %D" />

<Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="192.168.31.*"/>

<Context docBase="/usr/local/tomcat/webapps/FWYsWeb" path=""  reloadable="true"/>

<Context docBase="/usr/local/tomcat/webapps/FWYsWeb" path="/FWYsWeb"  reloadable="true"/>

</Host>

10.Server header重写

在HTTP Connector配置中加入server的配置,server=”chuck-server”

时间: 2024-11-08 18:19:15

Tomcat安全规范的相关文章

Tomcat安全管理规范

s 前言 随着公司内部使用Tomcat作为web应用服务器的规模越来越大,为保证Tomcat的配置安全,防止信息泄露,恶性攻击以及配置的安全规范,特制定此Tomcat安全配置规范. 定位:仅对tomcat的安全配置部分进行标准规范. 适用版本范围:tomcat 6.* Tomcat安装规范 注:所有线上运行tomcat必须严格安装本标准执行. tomcat用户设置 [[email protected] ~]# useradd -d /tomcat -u 501 tomcat [[email pr

tomcat中server.xml配置详解

Tomcat Server的结构图如下:该文件描述了如何启动Tomcat Server. <Server port="8005" shutdown="SHUTDOWN"> <Listener /> <GlobaNamingResources></GlobaNamingResources> <Service name="Catalina"> <Executor ...... />

Tomcat 配置详解/优化方案

 转自:http://blog.csdn.net/cicada688/article/details/14451541 Service.xml Server.xml配置文件用于对整个容器进行相关的配置. <Server>元素:是整个配置文件的根元素.表示整个Catalina容器. 属性: className:实现了org.apache.catalina.Server接口的类名,标准实现类是org.apache.catalina.core.StandardServer类. Port:Tomcat

CentOS6.4 安装tomcat

一.环境 系统:     CentOS 6.4x64最小化安装 IP:      192.168.3.68 二.安装JDK环境 JDK(Java Development Kit) 是 Java 语言的软件开发工具包(SDK).没有JDK的话,无法编译Java程序. 下载jdk    本篇使用的版本为jdk-8u45-linux-x64.tar.gz 64位JDK包:http://download.oracle.com/otn-pub/java/jdk/8u45-b14/jdk-8u45-linu

Tomcat 优化方案 和 配置详解

Service.xml Server.xml配置文件用于对整个容器进行相关的配置. <Server>元素: 是整个配置文件的根元素.表示整个Catalina容器. 属性: className:实现了org.apache.catalina.Server接口的类名,标准实现类是org.apache.catalina.core.StandardServer下载类. Port:Tomcat服务器监听用于关闭Tomcat服务器的命令(必须) Shutdown:发送到端口上用于关闭Tomcat服务器的命令

Tomcat 简介之【目录结构】

Tomcat 目录的结构   (1)Tomcat的安装   其实对于完全由Java写成的Tomcat,Win32版本和Linux版本没有多大区别,比如Linux版本,在Solaris下也没有问题.这里,主要以Win32版本作为示例. 注意:在安装使用Tomcat之前,先安装JDK,最好是Sun的JDK 1 .2 以上版.   (2)Tomcat的目录结构 首先,下载jakarta-tomcat.zip包,解压缩到一个目录下,如:"c:\tomcat".这时,会得到如下的Tomcat的目

tomcat中server.xml配置详解(转载)(二)

转载自:https://www.cnblogs.com/starhu/p/5599773.html 一:<Connector>元素 由Connector接口定义.<Connector>元素代表与客户程序实际交互的给件,它负责接收客户请求,以及向客户返回响应结果. <!-- 一个"Connector"(连接器)代表一个请求被接收和应答所需要的端点.每个连接器通过相关的"Container"(容器)处理请求. 默认情况下,一个非SSL的HT

tomcat server.xml 配置详解

Tomcat Server的结构图如下: 该文件描述了如何启动Tomcat Server <Server>    <Listener />    <GlobaNamingResources>    </GlobaNamingResources    <Service>        <Connector />        <Engine>            <Logger />            <R

Tomcat 下4个配置文件详解

Tomcat 的配置文件由4个 xml 文件构成,context.xml.web.xml.server.xml.tomcat-users.xml 这4个文件.每个文件都有自己的功能与配置方法,下列将逐一介绍这几个文件的配置: 一.context.xml 文件 Context.xml 是 Tomcat 公用的环境配置,tomcat 服务器会定时去扫描这个文件.一旦发现文件被修改(时间戳改变了),就会自动重新加载这个文件,而不需要重启服务器.推荐在 $CATALINA_BASEconf/contex