安全培训课件06_We服务器安全管理.pptxVIP

Web服务器安全管理;Apache;Apache特点 历史悠久 A patchy server, University of Illinois, httpd, 1995 开放源代码 IBM HTTP Server is based on the Apache HTTP Server /software/webservers/httpservers/ Yahoo! Apache = Yapache /bfrance/radwin/talks/yapache-oscon2006.htm 模块化设计 mod_perl、php、mod_jk;Apache安装 版本分类 安装方法 RPM Source 版本查看 httpd -v 目录结构 与Java Web容器整合;安全问题 扩展名解析;目录浏览 ;Apache访问日志;Apache错误日志;PHP日志审核 error_reporting = E_ERROR | E_WARNING | E_PARSE display_errors = Off log_errors = On error_log = php.log ;运行服务用户 User apache Group apache 自定义错误信息 ErrorDocument 500 The server is busy. ErrorDocument 404 /missing.html ErrorDocument 403 /deny.html ;安全增强 隐藏页脚版本;安全增强 隐藏HTTP响应版本;设置身份验证 Directory D:/workspace/wwwroot/admin AuthType Basic AuthName Please Input Password AuthUserFile conf/htpasswd Require valid-user /Directory # htpasswd -c htpasswd admin;限制IP访问 Directory d:/workspace/wwwroot Options -Indexes FollowSymLinks AllowOverride None Order allow,deny Allow from 192.168.10. /Directory;禁止目录执行权限 Directory d:/workspace/wwwroot/upload/ php_admin_flag engine off /Directory Directory d:/workspace/wwwroot/upload/ FilesMatch \.php$ Order allow,deny Deny from all /FilesMatch /Directory ;启用SSL加密 生成.key openssl genrsa -out localhost.key 1024 根据.key生成.csr openssl req -new -key localhost.key -out localhost.csr .csr文件发给CA，或者自己制作，生成.crt和.key openssl x509 -in localhost.csr -out localhost.crt -req -signkey localhost.key -days 365;IIS;删除不必要组件;Web服务扩展;版本信息;ServerMask;IIS站点属性 主目录 主目录路径 主目录权限 执行许可 ISAPI扩展 调试信息 目录安全性 自定义错误信息;IIS站点属性 WEB站点 主目录 目录安全性 匿名访问 IP地址限制 自定义错误信息;IIS站点属性 WEB站点 主目录 目录安全性 自定义错误信息 HTTP错误消息 ;FrontPage扩展;FrontPage扩展攻击;IIS PUT;IIS PUT??击 C:\ telnet 80 PUT /test.txt HTTP/1.1 Host: Content-Length: 127247 % UserPass=123456 修改成自己的密码 mName=网页木马-asp版 AD=如果发现网站不能修改,那么使用批量挂马(超强版)就能提高修改权限来挂! 广告文字 bj=#000000 设置背景颜色 wz=#ddd 设置文字颜色 ... ... MOVE /test.txt HTTP/1.1 Host: Destination: /shell.asp ;上传目录的执行权限;扩展名解析问题 ;IIS日志设置