Tomcat安全优化

1 telnet管理端口强制
vim /usr/local/tomcat/conf/server.xml
原

修改修改端口修改shutdown对应命令改为任意字符串

2 ajp连接端口保护推荐
原

修改修改端口删除redirectPort

3 禁用管理端强制
删除{Tomcat安装目录}/webapps下默认的所有目录和文件；
将tomcat 应用根目录配置为tomcat安装目录以外的目录；

4 降权启动
[root@tom01 conf]# cp -a /usr/local/tomcat/ /home/tomcat/
[root@tom01 home]# chown -R tomcat.tomcat /home/tomcat/
[root@tom01 conf]#useradd tomcat -u 1000
[root@tom01 conf]# su - tomcat
[tomcat@tom01 ~]$ /usr/local/tomcat-shell/start_tomcat.sh /home/tomcat/
ps -aux|grep java

5 文件列表访问控制强制
conf/web.xml文件中default部分listings的配置必须为false
vim /usr/local/tomcat/conf/web.xml
<init-param> <param-name>listings</param-name> <param-value>false</param-value> </init-param>
false为不列出目录文件，true为允许列出，默认为false

6版本信息隐藏强制
vim /usr/local/tomcat/conf/web.xml
重定向403、404以及500等错误到指定的错误页面
也可以通过修改应用程序目录下的WEB-INF/web.xml下的配置进行错误页面的重定向

<error-page>
<error-code>403</error-code>
<location>/forbidden.jsp</location>
</error-page>
<error-page>
<error-code>404</error-code>
<location>/notfound.jsp</location>
</error-page>
<error-page>
<error-code>500</error-code>
<location>/systembusy.jsp</location>
</error-page>

在配置中对一些常见错误进行重定向，避免当出现错误时tomcat默认显示的错误页面暴露服务器和版本信息必须确保程序根目录下的错误页面已经存在

7 server header重写推荐
vim /usr/local/tomcat/conf/server.xml
原

<Connector port="8083" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" />

修改

<Connector port="8083" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" server="webserver" />

8 访问限制可选

<Context path="" docBase="/home/work/tomcat" debug="0" reloadable="false" crossContext="true">
<Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="61.148.18.138,61.135.165.*" deny="*.*.*.*"/>
</Context>

通过配置信任ip的白名单，拒绝非白名单ip的访问，此配置主要是针对高保密级别的系统，一般产品线不需要

9启停脚本权限回收推荐
chmod 744 /usr/local/tomcat/bin/*
防止其他用户有起停线上Tomcat的权限

10 访问日志的规范推荐
vim /usr/local/tomcat/conf/server.xml
原

<Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
               prefix="localhost_access_log" suffix=".txt"
               pattern="%h %l %u %t &quot;%r&quot; %s %b" />

修改开启Tomcat默认访问日志中的Referer和User-Agent记录

<Valve className="org.apache.catalina.valves.AccessLogValve"
                 directory="logs"  prefix="localhost_access_log." suffix=".txt"
                 pattern="%h %l %u %t %r %s %b %{Referer}i %{User-Agent}i %D" resolveHosts="false"/>

开启Referer和User-Agent是为了一旦出现安全问题能够更好的根据日志进行问题排查

11 编写启动脚本每次关闭tomcat的时候删除tomcat安装路径下的/tmp/* work/* 如果不删除的话在启动后可能会有一些意想不到的问题

猜你喜欢