网站常见漏洞和解决办法.docVIP

网站常见HYPERLINK 04湖北旅游信息服务系统详细设计说明书.doc漏洞以及解决办法 1 问题 远端WWW服务支持TRACE请求 解 决 办 法 ①开启Apache 的mod_rewrite功能： 在Apahce的配置文件httpd.conf中把#LoadModule rewrite_module modules/mod_rewrite.so前的#去掉 在httpd.conf中找到下面这段 Directory /Options FollowSymLinks AllowOverride None /Directory 将AllowOverride None 改成 AllowOverride ALL 这样Apache的mod_rewrite就开启了。 ②在httpd.conf最后加上 RewriteEngine on RewriteCond %{REQUEST_METHOD} ^(TRACE|TRACK) RewriteRule .* - [F] 禁用URL,返回403HTTP状态码 mod_rewrite模块提供了一个基于规则的(使用正则表达 式分析器的)实时转向URL请求的引擎。支持每个规则可以拥有不限数量的规则以及附加条件规则的灵活而且强大的URL操作机制。此URL操作可以取决于各种测试，比如服务器变量、环境变量、HTTP头、时间标记，甚至各种格式的用于匹配URL组成部分的查找数据库。 RewriteEngine On RewriteCond %{HTTP_HOST} ^xxx\.com$ [NC] RewriteRule ^/(.*)$ HYPERLINK /$1 /$1 [R=301,L] 对于unix，Red Hat Linux运行的Apache是编译好的程序，提示信息被编译在程序里， 要隐藏这些信息需要修改Apache的源代码，然后，重新编译安装程序，以替换里面 的提示内容。 2 问题 远端HTTP服务器类型和版本信息泄漏 解 决 办 法 ㈠apache版本信息泄漏解决方法： 在配置文件Apache2.2/conf/httpd.conf中加入 ServerTokens Prod[uctOnly]（等级[Prod,Major, Minor, Min, OS]） ServerSignature Off 重启 apache 现在 http 头里面只看到: Server: Apache[/2, /2.0, /2.0.41, /2.0.41 (Unix)] ㈡服务器类型泄漏解决办法： Tomcat: ①方法一：修改ServerIperties里的版本信息 Tomcat4\5：tomcat_home \server\lib\catalina.jar org\apache\catalina\util\ServerIperties Tomcat6：tomcat_home \lib\catalina.jar org\apache\catalina\util\ServerIperties 操作：用WinRAR打开catalina.jar 找到ServerIperties 解压并修改 再拖入即可。 ②方法二：使用WEB容器捕获异常进行处理 在web.xml文件头部加上: error exception-typejava.lang.Exception/exception-typelocation/system_error.jsp/location /error error error-code404/error-codelocation/system_error.jsp/location /error error error-code400/error-codelocation/system_error.jsp/location /errorerrorerror-code500/error-codelocation/system_error.jsp/location /error 3 问题 Apache MPM worker.c 远程拒绝服务漏洞。 Apache 2的worker模块在处理中止的TCP连接时存在内存泄漏,远程攻击者可以反复触发这种情况耗尽所有可用的内存,最终导致拒绝服务。 Apache.htaccess本地PCRE整数溢出权限提升漏洞。 PCRE在处理字符类时存在缓冲区溢出漏洞，如果用户发送了codepoint大于255的超长UTF-8字符类的话，就可能触发这个溢出，导致执行任意指令。 Apache mod_imagemap和mod_imap模块跨站脚本漏洞。 Apache的mod_imagemap和mod_imap模块中没有正确地过滤某些用户输入，允许远程攻击者提交恶意的HTTP请求执行跨站脚本攻击。