1. 适用情况 适用于使用Apahce进行部署的Web网站. 2. 技能要求 熟悉Apache配置文件,能够利用Apache进行建站,并能针对站点使用Apache进行安全加固. 3. 前置条件 1. 根据站点开放端口,进程ID,确认站点采用Apache进行部署: 2. 找到Apache配置文件 4. 详细操作 4.1 禁止目录浏览 (1) 备份httpd.conf配置文件,修改内容: Options FollowSymLinks AllowOverride None Order allow,de…

在给企业提加固方案的时候,检查服务器安全设置是必不可少的. “最小权限原则”: 当一个黑客在入侵一个网络并拿到webshell的后续就是思考是否需要提权.如果此刻的webshell直接是system或者administrator权限那自然是最high的了.但是如果是以普通权限或低权限.就要考虑提权问题. 这就是涉及到服务器在部署的时候是以什么样的权限来运行相关服务.比如Apache. 以apache为例: 我们知道linux对权限&端口是有限制的.比如非root用户想要运行web服务.那么没法使…

本书在出版当年就获得了不错的销量,同时被中国科学院国家科学图书馆.中国国家图书馆.首都图书馆.清华大学.北京大学等上百所国内综合性大学图书馆收录为馆藏图书,在IT业界赢得了良好的口碑.随后2012年年底,清华大学出版社有了本书再版计划,因此我开始对第一版内容进行优化组合,删减了几个不常用案例(包括第8章的Wine实战之Linux用网银.常见问题速查以及制作自己的LiveCD的内容等).增加了140页新内容,第1章新增了构建大型网站方法.基于开源WAF的使用方法.Web漏洞扫描工具的使用.基于PH…

<Linux企业应用案例精解(第2版)>新书开始发售 650) this.width=650;" title="linux企业应用案例精解 第2版" alt="wKioL1MfyiuDn1vvAAJSOEofrAo336.jpg" src="http://s3.51cto.com/wyfs02/M00/22/85/wKioL1MfyiuDn1vvAAJSOEofrAo336.jpg" /> 650) this.widt…

<Linux企业应用案例精解>简介 650) this.width=650;" border="0" alt="223754878.jpg" src="http://img1.51cto.com/attachment/201303/223754878.jpg" /> 本书同时被中国科学院国家科学图书馆.中国国家图书馆.首都图书馆.清华大学.北京大学等上百所国内综合性大学图书馆收录为馆藏图书,2013年本书远销到中国台湾…

1.2 Apache文件解析特性 Apache对于文件名的解析是从后往前解析的,直到遇见一个它认识的文件类型为止.因此,如果web目录下存在以类似webshell.php.test这样格式命名的文件,Apache在解析时因为不认识.test这个文件类型,所以会一直往前解析,当解析到.php时,它认识了,因此会将它解析为PHP文件. Apache的这种解析特性经常被用来绕过Web应用的文件上传检测.当Web应用的文件上传功能在检测上传文件的合法性时,如果仅通过检测上传文件的扩展名来判断文件是否合法…

Apache 作为Web应用的载体,一旦出现安全问题,那么运行在其上的Web应用的安全也无法得到保障,所以,研究Apache的漏洞与安全性非常有意义.本文将结合实例来谈谈针对Apache的漏洞利用和安全加固措施. Apache HTTP Server(以下简称Apache)是Apache软件基金会的一个开放源码的网页服务器,可以在大多数计算机操作系统中运行,是最流行的Web服务器软件之一.虽然近年来Nginx和Lighttpd等Web Server的市场份额增长得很快,但Apache仍然是这个领…

一.账号设置 以专门的用户帐号和用户组运行 Apache 服务. 根据需要,为 Apache 服务创建用户及用户组.如果没有设置用户和组,则新建用户,并在 Apache 配置文件中进行指定. 创建 Apache 用户组. groupadd apache 创建 Apache 用户并加入 Apache 用户组. useradd apache –g apache 将下面两行设置参数加入 Apache 配置文件 httpd.conf 中:     User apache Group apache 检查…

如果你用类似phpstudy集成平台的话,所有你想要修改的配置基本上在phpstudy上就可以直接设置操作.但如果你的服务器是通过一步步安装的(Apache+PHP+Mysql)的话,那么就要对各功能修改的位置要有一定的了解了. 一,文件类型: 目标:http.conf <Files ~ ".bak$"> Order allow,deny Deny from all </Files> //即限制可以访问的文件后缀. 或: <FilesMatch .(txt…

目录:1.BIOS2.SSH安全3.禁用telnet4.禁用代码编译5.ProFTP6.TCPwrappers7.创建一个SU组8.root通知9.history安全10.欢迎信息11.禁用所有特殊账户12.chmod危险文件13.指定允许root登陆的TTY设备14.选择一个安全的密码15.检查Rootkit16.安装补丁17.隐藏Apache信息18.隐藏php信息19.关闭不使用的服务20.检测监听中的端口21.关闭打开的端口和服务22.删除不用的rpm包23.禁用危险的php函数24.安…

Tomcat是Apache软件基金会的一个免费的.开放源码的WEB应用服务器,可以运行在Linux和Windows等多个平台上,由于其性能稳定.扩展性好.免费等特点深受广大用户的喜爱.目前,互联网上绝大多数JAVA WEB应用都运行在Tomcat服务器上. Tomcat作为Web应用的载体,一旦出现安全问题,那么运行在其上的Web应用的安全也无法得到保障,所以研究Tomcat的漏洞与安全性就非常有必要.本文通过实例详细的讲述了关于Tomcat攻防两个方面.笔者首先在攻击者的角度,以一个在渗透测试…

1 . BIOS 你应该总是在系统启动的时候设置一个BIOS 密码和禁用从CD-ROM 和软盘引导,这将可以防止一些人未经允许访问你的系统和更改BIOS 设置 2 .sshd 服务 SSH 是一个协议,利用它可以登录到一个远程系统或远程执行系统命令,默认允许root 登录,并且sshv1 存在缺陷,我们应该在sshd_config 禁止root 访问和使用sshv2 来让ssh 更加安全#vi /etc/ssh/sshd_config Protocol 2PermitRootLogin = no…

近日,Apache官方发布Apache Struts 2.3.5–2.3.31版本及2.5–2.5.10版本存在远程代码执行漏洞(CNNVD-201703-152 ,CVE-2017-5638)的紧急漏洞公告.该漏洞是由于上传功能的异常处理函数没有正确处理用户输入的错误信息,导致远程攻击者可通过发送恶意的数据包,利用该漏洞在受影响服务器上执行任意命令. 漏洞危害 攻击者可在HTTP请求头部中的Content-Type字段构造恶意代码利用该漏洞,在受影响服务器上执行系统命令,进一步可完全控制该服务…

一.背景说明 当前在服务上线前,安全部门都会对服务基线配置进行把关,整个流程可以分为扫描.生成报告.修复三步. 在执行这一流程时当前普遍的做法是半自动化的,扫描和生成报告是自动化的,执行扫描.执行生成报告和修复都是手动的. 这里我们要讲的,一是扫描脚本和生成报告脚本实现,二是执行扫描.执行生成报告和修复自动化实现. 二.项目说明 2.1 检测项 1. 删除示例文档 删除webapps/docs.examples.manager.ROOT.host-manager 禁用tomcat默认帐号 如下所…

Tomcat服务默认启用了管理后台功能,使用该后台可直接上传 war 文件包对站点进行部署和管理.由于运维人员的疏忽,可能导致管理后台存在空口令或者弱口令的漏洞,使得黑客或者不法分子可以利用该漏洞直接上传 Webshell 脚本导致服务器沦陷. 通常 Tomcat 后台管理的 URL 地址为 http://iP:8080/manager/html/, 如下图所示: 黑客通过猜解到的口令登录 Tomcat 管理后台后,可以上传 Webshell 脚本导致服务器被入侵. 安全加固方案 由于此类型漏洞…

1. 适用情况 适用于使用Tomcat进行部署的Web网站. 2. 技能要求 熟悉Tomcat配置操作,能够利用Tomcat进行建站,并能针对站点使用Tomcat进行安全加固. 3. 前置条件 1.根据站点开放端口,进程ID,进程名称,确认站点采用Tomcat进行部署: 2.找到Tomcat路径: 方法一:开始->所有程序->Apache Tomcat->打开文件位置 方法二:window直接搜索Tomcat 方法三:任务管理器->进程-> tomcat进程->打开文件…

tomcat是一个开源Web服务器,基于Tomcat的Web运行效率高,可以在一般的硬件平台上流畅运行,因此,颇受Web站长的青睐.不过,在默认配置下其存在一定的安全隐患,可被恶意攻击.以下是一些安全加固的方法: 版本安全 升级到最新稳定版,出于稳定性考虑,不建议进行跨版本升级. 服务降权 不要使用root用户启动tomcat,使用用普通用户启动Tomcat,集群内用户名统一UID 端口保护 更改tomcat管理端口8005 ,此端口有权限关闭tomcat服务,但要求端口配置在8000~8999…

目录:1.BIOS2.SSH安全3.禁用telnet4.禁用代码编译5.ProFTP6.TCPwrappers7.创建一个SU组8.root通知9.history安全10.欢迎信息11.禁用所有特殊账户12.chmod危险文件13.指定允许root登陆的TTY设备14.选择一个安全的密码15.检查Rootkit16.安装补丁17.隐藏Apache信息18.隐藏php信息19.关闭不使用的服务20.检测监听中的端口21.关闭打开的端口和服务22.删除不用的rpm包23.禁用危险的php函数24.安…

tomcat安全加固和规范 tomcat是一个开源Web服务器,基于Tomcat的Web运行效率高,可以在一般的硬件平台上流畅运行,因此,颇受Web站长的青睐.不过,在默认配置下其存在一定的安全隐患,可被恶意攻击.以下是一些安全加固的方法: 版本安全 升级到最新稳定版,出于稳定性考虑,不建议进行跨版本升级. 服务降权 不要使用root用户启动tomcat,使用用普通用户启动Tomcat,集群内用户名统一UID 端口保护 1 更改tomcat管理端口8005 ,此端口有权限关闭tomcat服务,但…

本文基于tomcat8.0.24 1.删除文档和示例程序 [操作目的]删除示例文档 [加固方法]删除webapps/docs.examples.manager.ROOT.host-manager [是否实施]是 2.禁止列目录 [操作目的]防止直接访问目录时由于找不到默认页面而列出目录下的文件 [加固方法]打开web.xml,将<param-name>listings</param-name> 改成<param-name>false</param-name>…

1.Tomcat介绍 Tomcat是Apache软件基金会(Apache Software Foundation)的Jakarta 项目中的一个核心项目,由Apache.Sun和其他一些公司及个人共同开发而成. Tomcat服务器是一个免费的开放源代码的Web应用服务器,属于轻量级应用服务器,在中小型系统和并发访问用户不是很多的场合下被普遍使用,是开发和调试JSP程序的首选. Tomcat和Nginx.Apache(httpd).lighttpd等Web服务器一样,具有处理HTML页面的功能,另…

IIS作为一款流行的Web服务器,在当今互联网环境中占有很大的比重,绝大多数的asp.asp.net网站都运行在它上面.因此,也引来了无数 黑客们关注的目光.目前针对IIS的攻击技术已经非常成熟,而且相对技术门槛较低,所以很多初学者拿它来练手.许多网站因为网站管理员的安全意识不高或技 术上的疏忽而惨遭毒手.本文通过实例来谈谈针对IIS的攻击技术与安全加固措施. 攻击实例 IIS写权限漏洞利用 我们先通过一个攻击实例来演示如何利用IIS权限配置不当来快速攻陷一个网站,以此来提高广大读者对IIS安全…

一.  linux加固目标和对象 项目加固的目标:  解决今年信通公司在风险评估工作中发现的linux服务器存在的安全问题,并结合南方电网安全基线标准修订版部署相关要求,将linux服务器的安全状况提升到一个较高的安全防护水平,尽可能降低由linux服务器带来的安全风险对电网信息业务正常运行的安全威胁. 项目加固的对象:本次信息安全加固对象主要包括贵州电网信通公司信息系统内的linux系统.具体设备见附录<linux系统主机> 二.  加固方案 2.1  设备管理 2.1.1  加固内容:安装…

简介 Apache Shiro 是一个功能强大但又非常容易使用的 Java 安全框架,提供了认证,授权,加密以及会话管理功能.因为 Shiro 的 API 是非常容易理解的,所以使用 Shiro 你可以快速有效地加固你的任何应用--从小型移动端应用到大型 Web 应用以及企业级应用. 十分钟的入门教程 十分钟的入门教程的代码就在源码代码包里面,可以自己下载下来看看喽! 参考 官网:https://shiro.apache.org/ 什么是 Apache Shiro…

linux系统安全加固 一.账号相关 1.禁用或删除无用账号 减少系统无用账号,降低安全风险. 当我们的系统安装完毕后,系统默认自带了一些虚拟账户,比如bin.adm.lp.games.postfix等,这些账号理论上是可以删除的.但是因为它们的登录shell都是/sbin/nologin,所以它们本身也是无法登录的,不用删也可以.我们要注意的是系统安装完成后,自己手动创建的一些账户,比如这些登录shell是/bin/bash,一定要控制好. 1.1.使用cat /etc/passwd 命令查看…

描述   :Apache默认配置时允许目录浏览.如果目录下没有索引文件,则会出现目录浏览,导致文件信息泄漏. 检测方法:直接访问目录,如果能看到目录下的文件信息,则说明存在目录浏览漏洞 加固方法: 1.找到apache2的配置文件,在apache2中配置文件为 /etc/apache2/apache2.conf 将Options Indexes FollowSymLinks  --> Options  None 2.重启apache2 service apache2 restart .…

★ 欢迎来到[护卫神·V课堂],网站地址:http://v.huweishen.com★ 护卫神·V课堂 是护卫神旗下专业提供服务器教学视频的网站,每周更新视频.★ 本节我们将带领大家:服务器安全加固·由于安全因素种类繁多,以及不同服务器设置可能不一样,本节只能简单介绍安全加固的几个方 面.·如果您需要专业的安全加固,请购买护卫神“人工安全加固服务”. 1.更新系统补丁 更新补丁是安全加固最重要的步骤. 2.禁用不需要的服务 以下服务必须禁用:Server.Workstation.Telnet.…

★ 欢迎来到[护卫神·V课堂],网站地址:http://v.huweishen.com★ 护卫神·V课堂 是护卫神旗下专业提供服务器教学视频的网站,每周更新视频.★ 本节我们将带领大家:服务器安全加固·因于安全因素种类繁多,本节只能简单介绍安全加固的几个方面:我们不保证按照本节设置后能 达到100%安全.·不同服务器安装内容/结构可能不一样,如按本节设置后出现服务器故障,我们不承担任何责任: 建议您在设置前先备份下系统.·如果您需要专业的安全加固,请购买护卫神“人工安全加固服务”. 1.更新系统…

★ 欢迎来到[护卫神·V课堂],网站地址:http://v.huweishen.com★ 护卫神·V课堂 是护卫神旗下专业提供服务器教学视频的网站,每周更新视频.★ 本节我们将带领大家:服务器安全加固·因于安全因素种类繁多,本节只能简单介绍安全加固的几个方面:我们不保证按照本节设置后能 达到100%安全.·不同服务器安装内容/结构可能不一样,如按本节设置后出现服务器故障,我们不承担任何责任: 建议您在设置前先备份下系统.·如果您需要专业的安全加固,请购买护卫神“人工安全加固服务”. 1.更新系统…

公司各业务网站大多用到Nginx,花了点时间整理了一下Nginx服务器安全加固的各类tips. 默认配置文件和Nginx端口 /usr/local/nginx/conf/-Nginx配置文件目录,/usr/local/nginx/conf/nginx.conf是主配置文件 /usr/local/nginx/html/-默认网站文件位置 /usr/local/nginx/logs/-默认日志文件位置 Nginx HTTP默认端口:TCP 80 Nginx HTTPS默认端口:TCP 443 可以使…