本文记录了如何修复Apache服务器的安全漏洞，包括http host头攻击、HTTP Security Header缺失、目录列举以及Apache的优雅重启方法。修复措施涉及修改Apache配置，如使用SERVER_NAME而非HTTP_HOST，设置安全头部参数，禁用目录列举，并正确执行Apache的graceful重启。
最近网站被扫描出几个漏洞，大部分都是apache配置引起的，在此记录一下怎么修复。
1.检测到目标URL存在http host头攻击漏洞
头攻击漏洞，比较常见的漏洞，修复的方法也提供了
漏洞的详细描述：
为了方便的获得网站域名，开发人员一般依赖于HTTP Host header。例如，在php里用_SERVER[“HTTP_HOST”]。但是这个header是不可信赖的，如果应用程序没有对host header值进行处理，就有可能造成恶意代码的传入。
解决办法：
web应用程序应该使用SERVER_NAME而不是host header。
在Apache和Nginx里可以通过设置一个虚拟机来记录所有的非法host header。在Nginx里还可以通过指定一个SERVER_NAME名单，Apache也可以通过指定一个SERVER_NAME名单并开启UseCanonicalName选项。
我们使用的正好是apache，所以加上相关配置应该就可以了。
ServerName www.xxxxxx.com
UseCanonicalName On
最低0.47元/天 解锁文章
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
