(注：皆为参考操作配置)

这次是tomcat的Linux加固,分为身份鉴别、访问控制、安全审计、资源控制和入侵防范5个方面
大部分加固基于xml配置文件进行修改，也应根据实际需求制定方案。
寻找配置文件目录，Linux可以用find /-name *tomcat* 即可。

0x00 　　 身份鉴别
1. 删除多余账号：
修改tomcat配置文件**/conf/tomcat-users.xml配置文件，删除与工作无关的帐号。
例如tomcat1与运行、维护等工作无关，删除帐号，注释如下行即可：
<userusername=”tomcat1” password=”tomcat” roles=”admin”>.

2. 口令复杂度：
口令要求：长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少3类。
修改tomcat配置文件***/conf/tomcat-users.xml配置文件
<userusername=”usr1” password=”12345qwe” roles=”admin”>
要求usr1密码必须满足复杂度要求。

3. 不同用户不同账号：
应为两个或两个以上即为合理
修改tomcat配置文件***/conf/tomcat-users.xml配置文件，修改或添加帐号：
<userusername=”tomcat” password=” Tomcat!234” roles=”admin”>

4. 非root启动服务：
ps -ef | grep tomcat|grep -v "grep"
tomcat进程的启动用户应不为root
使用普通用户启动tomcat服务。

0x01 　　 访问控制(留作自查)
最小特权：
编辑tomcat配置文件/conf/tomcat-user.xml配置文件，在配置文件<tomcat-users>节点下，修改用户角色权限，授权tomcat具有远程管理权限：

0x02 　　安全审计
编辑tomcat配置文件server.xml配置文件，在<HOST>标签中增加记录日志功能，将以下内容的注释标记<! -- -- >取消：
<valveclassname=”org.apache.catalina.valves.AccessLogValve”
Directory=”logs”prefix=”localhost_access_log.” Suffix=”.txt”
Pattern=”common”resloveHosts=”false”/>

classname: This MUSTbe set to org.apache.catalina.valves.AccessLogValve to use thedefault access log valve

翻译：这必须设置为org.apache.catalina.valves.AccessLogValve以使用默认访问日志阀
Directory:日志文件放置的目录，在tomcat下面有个logs文件夹，那里面是专门放置日志文件的，也可以修改为其他路径；
Prefix:这个是日志文件的名称前缀，日志名称为localhost_access_log.2008-10-22.txt，前面的前缀就是这个localhost_access_log。
Suffix: 文件后缀名。
Pattern:common方式时，将记录访问源IP、本地服务器IP、记录日志服务器IP、访问方式、发送字节数、本地接收端口、访问URL地址等相关信息在日志文件中。
resolveHosts:值为true时，tomcat会将这个服务器IP地址通过DNS转换为主机名，如果是false，就直接写服务器IP地址。

0x03 　　入侵防范
1. HTTP加密协议
cat /tomcat/pat/to/path/conf/server.xml|sed '//d'|sed '/^$/d'|sed'//d'|sed '/^\s*$/d'|grep "keystoreFile"

（1）使用JDK自带的keytool工具生成一个证书：
$JAVA_HOME/bin/keytool -genkey –alias tomcat –keyalg RSA -keystore/path/to/my/keystore
其中目录：/path/to/my需要用户自行创建。

（2）修改tomcat安装目录下/conf/server.xml配置文件，更改为使用HTTPS方式，增加如下行：
<Connectorclassname="org.apache.catalina.http.HttpConnector"
port="8443" protocol="HTTP/1.1" minProcessors="5"
SSLEnabled="true"
maxprocessors="100"
enableLookups="true" acceptCount="10" debug="0"
scheme="https"
Factory_classname="org.apache.catalina.SSLServerSocketFactory"
secure="true"
clientAuth="false"
keystoreFile="/path/to/my/keystore"
keystorePass="123qwe"
sslProtocol="TLS"/>
其中keystorePass的值为生成keystore时输入的密码。

（3）重新启动tomcat服务

2. 禁用非法HTTP请求方法

编辑web.xml文件
查看org.apache.catalina.servlets.DefaultServlet是否存在如下配置：
<init-param>
<param-name>readonly</param-name>
<param-value>false</param-value>
</init-param>
将false修改为true。readonly参数默认是true，即不允许delete和put操作。

0x04 　　资源控制
1. 超时登出
单位是毫秒
/conf/server.xml配置文件，将connectionTimeout修改为30秒：
<Connectorport="8080" maxHttpHeaderSize="8192" maxThreads="150"minSpareThreads="25"maxSpareThreads="75"、enableLookups="false"redirectPort="8443" acceptCount="100"connectionTimeout="30000" disableUploadTimeout="true"/>

2. 错误页面重定向

(1) 编辑tomcat配置文件/conf/web.xml文件：
在最后</web-app>一行之前加入以下内容：
<error-page>
<error-code>404</error-code>
<location>/noFile.htm</location>
</error-page>
<error-page>
<exception-type>java.lang.NullPointerException</exception-type>
<location>/error.jsp</location>
</error-page>
第一个<error-page></error-page>之间的配置实现了将404未找到jsp网页的错误导向noFile.htm页面，也可以用类似方法添加其多的错误代码导向页面，如403，500等。

第二个<error-page></error-page>之间的配置实现了当jsp网页出现java.lang.NullPointerException导常时，转向error.jsp错误页面，还需要在第个jsp网页中加入以下内容：
<%@ pageerrorPage="/error.jsp" %>
典型的error.jsp错误页面的程序写法如下:
<%@ pagecontentType="text/html;charset=GB2312"%>
<%@ pageisErrorPage="true"%>
<html>
<head><title>错误页面</title></head>
<body>出错了：</p>错误信息:<%= exception.getMessage() %><br>
Stack Trace is :<pre><font color="red"><%
java.io.CharArrayWritercw = new java.io.CharArrayWriter();
java.io.PrintWriterpw = new java.io.PrintWriter(cw,true);
exception.printStackTrace(pw);
out.println(cw.toString());
%></font></pre>
</body>
</html>
当出现NullPointerException异常时tomcat会把网页导入到error.jsp，且会打印出出错信息。

重新启动tomcat服务

3. 修改默认端口
修改tomcat配置文件server.xml配置文件，更改默认管理端口到非8080：
<Connector
port="8080" maxHttpHeaderSize="8192" maxThreads="150"
minSpareThreads="25"maxSpareThreads="75"、
enableLookups="false"redirectPort="8443" acceptCount="100"
connectionTimeout="300"disableUploadTimeout="true" />

重新启动tomcat服务

4. 禁止目录列出
编辑tomcat配置文件web.xml配置文件：
<init-param>
<param-name>listings</param-name>
<param-value>true</param-value>
</init-param>
把true改成false。

重新启动tomcat服务

5. 防止恶意关闭服务
编辑tomcat配置文件conf/server.xml配置文件，
shutdown的值为复杂的字符串：
<Serverport="8005" shutdown="复杂的字符串">

6. 连接数设置
编辑tomcat配置文件server.xml文件：
maxThreads="150" 表示最多同时处理150个连接。
minSpareThreads="25" 表示即使没有人使用也开这么多空线程等待。
maxSpareThreads="75" 表示如果最多可以空75个线程。
acceptCount="100" 当同时连接的人数达到maxThreads时，还可以接收排队的连接，超过这个连接的则直接返回拒绝连接。

7. 修改banner
修改/lib/catalina.jar中Serverinfo.properties问津中的以下参数(修改以掩饰真实版本信息)：
server.info=X
server.build=BuildDate
server.number=X

Linux安全加固之中间件Tomcat的更多相关文章

  1. RedHat Linux 5.5安装JDK+Tomcat并部署Java项目

    与大家分享下RedHat Linux 5.5安装JDK+Tomcat并部署Java项目的步骤,希望对大家有用. 1.下载并安装jdk 虚拟机中安装RedHat Linux 5.5 64位企业版, 这里 ...

  2. linux下实现自动部署tomcat的脚本

    linux下实现自动部署tomcat的脚本 由于经常部署war到tomccat上,经常有一些重复的工作要做:停服务.备份war包.上传新的war包.启动服务.索性就写了一个自动部署的脚本. 脚本如下a ...

  3. linux安全加固浅谈

    难易程度:★★★阅读点:linux;python;web安全;文章作者:xiaoye文章来源:i春秋关键字:网络渗透技术 前言linux被越来越多的企业使用,因此掌握一些基本的linux安全加固是有必 ...

  4. Linux下部署多个Tomcat（完整）

    Linux下部署多个Tomcat 1.环境:1.1.Centos 5.01.2.apache-tomcat-6.0.18 2.需要解决一下几个问题2.1.不同的tomcat启动和关闭监听不同的端口2. ...

  5. Linux上部署多个tomcat端口设置

    在Linux上部署多个tomcat主要是防止端口冲突的问题, tomcat服务器需配置三个端口才能启动,安装时默认启用了这三个端口,当要运行多个tomcat服务时需要修改这三个端口,不能相同.端口一: ...

  6. Linux下配置多个tomcat多个域名

    Linux下配置多个tomcat多个域名复制tomcat:mkdir /home/server/testcp -rf /home/server/shichuan/* /home/server/test ...

  7. 在linux下安装并操作tomcat

    1.安装tomcat1).下载tomcat从官网http://tomcat.apache.org/下载tomcat,保存在/home目录下.root@ubuntu:/home/ubuntu/Downl ...

  8. Linux 下启动两个tomcat

    Linux 下启动两个tomcat 闲来无事学习nginx,想要配置个load balance.可是先决条件是:得有两个web容器.两个电脑是不用想了.只能想办法在一个机器上启动两个tomcat.原以 ...

  9. Linux系统下，启动Tomcat有时报Address already in use

    一.Linux系统下,启动Tomcat有时报Address already in use<null>... 1.那是因为你的tomcat已经启动了tomcat自带的关闭脚本,有时候关闭看上 ...

随机推荐

  1. deep_learning_Softmax()

    该节课中提到了一种叫作softmax的函数,因为之前对这个概念不了解,所以本篇就这个函数进行整理,如下: 维基给出的解释:softmax函数,也称指数归一化函数,它是一种logistic函数的归一化形 ...

  2. 2019-2020-1 20199319《Linux内核原理与分析》第一周作业

    一.Linux系统简介 通过实验一了解了Linux 的历史,Linux与windows之间的区别以及学习Linux的方法.因为一直用的都是windows系统,习惯了图形界面,而Linux是通过输入命令 ...

  3. （九）全志平台Tina系统量产前adb shell设密码的方法

    全志平台Tina系统量产前adb shell设密码的方法[适用范围] 全志平台Tina系统 [问题现象] 通常产品量产后都想要以安全方式封闭adb shell,不允许用户或其他开发者使用,因此需要以安 ...

  4. centos7初始化bashshell脚本

    centos7初始化bashshell脚本 #!/bin/bash if [[ "$(whoami)" != "root" ]]; then echo &quo ...

  5. vue+elementui搭建后台管理界面

    1 会话存储 使用html5的 sessionStorage 对象临时保存会话 // 保存会话 sessionStorage.setItem('user', username) // 删除会话 ses ...

  6. Linux计划任务与压缩归档

    计划任务分为两种形式 第一种:定时性的:也就是例行,每隔一定的周期就要重复来做这个任务. 第二种:突发性的:临时决定,只执行一次的任务. 用到的命令有两个 at:它是一个可以处理仅执行一次的任务就结束 ...

  7. Mac上 intellij IDEA报错：Class JavaLaunchHelper is implemented in both /Library/Java/JavaVirtualMachines/jdk .jdk/Contents/Home/bin/java ( ) and /Library/Java/JavaVirtualMachines/jdk

    解决方案: 点击IDEA菜单里的Help-Edit Custom Properties,没有这个properties文件的话,会提示创建,在里面加上 idea.no.launcher=true 说明: ...

  8. uva 1440 & uvalive 4597

    题目链接 题意: DAG的最小路径覆盖,一条边可以被重复覆盖多次,但是一次只能沿着DAG的方向覆盖一条链,问最少覆盖次数. 思路: 看了半天没有思路,所以去搜索了题解,然后发现是有源汇上下界的最小流, ...

  9. 远程文件传输工具sftp、scp、rsync

    一.scp 格式 scp [options] [user@]host : /sourcefile /destpathscp [options] /sourcefile [user@]host:/des ...

  10. 快速开发MQTT（一）电子工程师眼中的MQTT

    转载:https://zhuanlan.zhihu.com/p/54669124 DigCore 主页http://www.digcore.cn 文章首发于同名微信公众号:DigCore 欢迎关注同名 ...