Puerto predeterminado 8080
Autoridad de operación del servidor
Los permisos de ejecución de Tomcat en Linux están relacionados con la cuenta de inicio de Tomcat. Por ejemplo, si comienza como usuario root, el permiso de shell obtenido es root. Cuando comienza con un usuario normal, el permiso de shell obtenido es el usuario normal. Por razones de seguridad, use una cuenta de privilegios bajos para iniciar Tomcat.
El control de permisos de Windows requiere la configuración de la cuenta, crear un nuevo usuario de Tomcat y pertenecer al grupo Invitado, luego establecer los permisos correspondientes en el directorio de Tomcat, establecer la configuración de la carpeta de carga de archivos para que sea independiente, y luego establecer la cuenta de servicio en la cuenta de inicio de sesión de servicio (Política de seguridad local- "Privilegios de usuario-" Inicie sesión como un servicio), luego haga clic en el servicio para iniciar sesión con esta cuenta, reinicie el servicio, consulte el artículo anterior sobre la configuración de apache
Administración de fondo del servidor
Hay tres botones en la página de inicio de Tomcat, que indican ingresar al estado del servidor, administrar las aplicaciones implementadas en el servidor y administrar la interfaz del host.
De forma predeterminada, no se envía ninguna entrada. Al hacer clic en cualquiera de estos botones, se solicitará un cuadro de entrada de nombre de usuario y contraseña, pero de hecho Tomcat no configura ningún nombre de usuario y contraseña de forma predeterminada.
Establezca el nombre de usuario y la contraseña de administración en el archivo tomcat-users.xml en el directorio conf (el valor predeterminado está comentado)
Por lo tanto, el administrador puede configurar la contraseña predeterminada de la cuenta tomcat: tomcat both: tomcat role1: tomcat
Puede usar la cuenta de tomcat para agregar la siguiente configuración, "manager-gui" tiene acceso a los dos primeros botones, "admin-gui" tiene acceso al tercer botón antes
Control de acceso al servidor
Por defecto, el error de Tomcat revelará la información de la versión del servidor, que también es un tipo de fuga de información, por lo que debe ocultarse tanto como sea posible.
Ingrese al directorio lib de tomcat para encontrar el archivo catalina.jar, descomprímalo e ingrese org / apache / catalina / util para editar el archivo de configuración ServerInfo.properties como se muestra
Eliminar la información de la versión y guardar
Luego usa el comando
jar uvf catalina.jar org / apache / catalina / util / ServerInfo.properties
De esta manera, la información de la versión de Tomcat no se filtrará
Listado de directorio prohibido
Para evitar la vulnerabilidad transversal del directorio de la Web, se debe prohibir que la lista de directorios se muestre en la Web. El método de configuración es editar el archivo web.xml en la carpeta conf de Tomcat y encontrar el siguiente contenido. Si la posición marcada es verdadera, se producirá la transversal del directorio y el valor predeterminado es falso.
