tomcat与jdk对应关系
https://tomcat.apache.org/whichversion.html
安装tomcat
隐藏版本号
进入tomcat目录下
cd tomcat/lib
unzip catalina.jar
cd org/apache/catalina/util
vim ServerInfo.properties
删除版本信息
cd tomcat/lib
jar uvf catalina.jar org/apache/catalina/util/ServerInfo.properties
重启tomcat
删除webapps目录下示例程序及文档
mv docs examples host-manager manager /tmp
mv ROOT/* /tmp
禁止登录
# Linux默认是注释的
# vim conf/tomcat-users.xml
<!--
<role rolename="tomcat"/>
<role rolename="role1"/>
<user username="tomcat" password="<must-be-changed>" roles="tomcat"/>
<user username="both" password="<must-be-changed>" roles="tomcat,role1"/>
<user username="role1" password="<must-be-changed>" roles="role1"/>
-->
</tomcat-users>
修改8005端口和默认字符串
# vim conf/server.xml
<Server port="18005" shutdown="NOSHUTDOWN">
开启日志审核
# Linux默认开启
# vim conf/server.xml
<Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
prefix="localhost_access_log" suffix=".txt"
pattern="%h %l %u %t "%r" %s %b" />
禁止列出列表
# Linux默认为false
# vim conf/web.xml
<init-param>
<param-name>listings</param-name>
<param-value>false</param-value>
</init-param>
设置错误页面
#在文件最后，</web-app>之前添加
<error-page>
<error-code>400</error-code>
<location>/error.html</location>
</error-page>
<error-page>
<error-code>404</error-code>
<location>/error.html</location>
</error-page>
<error-page>
<error-code>500</error-code>
<location>/error.html</location>
</error-page>
#在个站点根目录下添加error.html
<!DOCTYPE html>
<title>网页访问不了</title>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<link rel="stylesheet" type="text/css" href="404/error_all.css?t=201303212934">
</head>
<body class="error-404">
<div id="doc_main">
<section class="bd clearfix">
<div class="module-error">
<div class="error-main clearfix">
<div class="label"></div>
<div class="info">
<h1 class="title">你所访问的页面不存在了</h1>
<div class="reason">
</div>
</div>
</div>
</div>
</section>
</div>
</body></html>
中间件后台防护手段
禁止采用默认路径、默认端口
禁止中间件后台暴露在互联网上可以直接访问
中间件后台在内网限制地址进行访问
禁止使用中间件默认用户名密码
禁止在生产环境发布测试系统
# web中间件安全加固建议
1、修改默认用用户和密码
2、禁止列出网站目录功能
3、删除测试页面
4、正式环境下禁止报错文件直接返回给用户
5、如无特殊需求HTTP传输方式固定为只允许POST和GET方式
6、开启日志功能
7、上传文件夹关闭运行权限
8、中间件管理员用户名密码配置强口令
9、根据不同中间件特性制订加固基线
网友评论