web服务器安全策略.docVIP

Web服务器安全策略随着网络技术的普及、应用和Web技术的不断完善，Web服务已经成为互联网上颇为重要的服务形式之一。原有的客户／服务器模式正在逐渐被浏览器／服务器模式所取代。　　本文将重点介绍Web面临的主要威胁，并结合在Linux中使用较多的Apache服务器，介绍进行Web服务器安全配置的技巧。 Web服务器面临的安全隐患　　为了保护Web服务器不被恶意攻击和破坏，第一步就是要了解和识别它所面临的安全风险。以前，Web站点仅仅提供静态的页面，因此安全风险很少。恶意破坏者进入这类Web站点的惟一方法是获得非法的访问权限。　　近年来，大部分Web服务器不再提供静态的HTML页面，它们提供动态的内容，许多Web站点与颇有价值的客户服务或电子商务活动应用结合在一起（这也是风险所在，通常不注意的）。　　◆ HTTP拒绝服务。攻击者通过某些手段使服务器拒绝对HTTP应答。这使得Apache对系统资源（CPU时间和内存）需求的剧增，最终造成系统变慢甚至完全瘫痪。　　◆ 缓冲区溢出。攻击者利用CGI程序编写的一些缺陷使程序偏离正常的流程。程序使用静态分配的内存保存请求数据，攻击者就可以发送一个超长请求使缓冲区溢出。比如一些Perl编写的处理用户请求的网关脚本。一旦缓冲区溢出，攻击者可以执行其恶意指令。　　◆ 攻击者获得root权限。如果Apache以root权限运行，系统上一些程序的逻辑缺陷或缓冲区溢出的手　　段，会让攻击者很容易在本地获得Linux服务器上管理员权限root。在一些远程的情况下，攻击者会利用一些以root身份执行的有缺陷的系统守护进程来取得root权限，或利用有缺陷的服务进程漏洞来取得普通用户权限，用以远程登录服务器，进而控制整个系统。　　合理的网络配置能够保护Apache服务器免遭多种攻击。 配置一个安全Apache服务器1、勤打补丁　　在上最新的changelog中都写着：bug fix、security bug fix的字样。所以，Linux网管员要经常关注相关网站的缺陷修正和升级，及时升级系统或添加补丁。使用最高和最新安全版本对于加强Apache Web服务器的安全是至关重要的。2、隐藏Apache的版本号　　通常，软件的漏洞信息和特定版本是相关的，因此，版本号对黑客来说是最有价值的。默认情况下，系统会把Apache版本系统模块都显示出来（http返回头）。如果列举目录的话，会显示域名信息(文件列表正文)去除Apache版本号：修改配置文件：/etc/httpd.conf.找到关键字ServerSignature，将其设定为：　　　ServerSignature Off　　　ServerTokens Prod　　然后重新启动Apache服务器。3.建立一个安全的目录结构结构　　Apache服务器包括四个主要目录：　　（1）ServerRoot：保存配置文件(conf子目录)二进制文件和其他服务器配置文件。　　（２）DocumentRoot：保存Web站点的内容，包括HTML文件和图片等。　　（3）ScripAlias：保存CGI脚本。　　（4）Customlog和Errorlog：保存访问日志和错误日志。　　建议设定这样一个目录结构，以上四个主要目录相互独立并且不存在父子逻辑关系。　　小提示：ServerRoot目录应该被配置为只能由root用户访问；DocumentRoot应该能够被管理Web站点内容的用户访问和被Apache服务器使用Apache用户和Apache用户组访问；ScriptAlias目录应该只能被CGI开发人员和Apache用户访问；只有root用户访问日志目录。　　下面是笔者使用的目录结构快照，如图1所示。 　　这样的目录结构是比较安全的，因为目录之间是独立的，某个目录的权限错误不会影响其他目录。4、为Apache使用专门的用户和组　　按照最小特权原则，需要给Apache分配一个合适的权限，让其能够完成Web服务。　　 　　小提示：最小特权原则是系统安全中最基本的原则之一，它限制了使用者对系统及数据进行存取所需要的最小权限，既保证了用户能够完成所操作的任务，同时也确保非法用户或异常操作所造成的损失最小。　　必须保证Apache使用一个专门的用户和用户组，不要使用系统预定义的账号，比如nobody用户和nogroup用户组。　　因为只有root用户可以运行Apache，DocumentRoot应该能够被管理Web站点内容的用户访问和Apache服务器使用Apache用户和Apache用户组访问。所以，如果希望“cao”用户在Web站点发布内容，并且可以以httpd身份运行Apache服务器，通常可以这样：　　　　groupadd