Tomcat安全优化

最新推荐文章于 2024-09-22 16:40:08 发布

原创最新推荐文章于 2024-09-22 16:40:08 发布 · 354 阅读

0 ·

CC 4.0 BY-SA版权

Tomcat 专栏收录该内容

19 篇文章

订阅专栏

本文详细介绍了Tomcat的安全优化措施，包括更改管理端口和shutdown命令、保护ajp连接端口、禁用默认管理应用、降权启动Tomcat、控制文件列表访问、隐藏版本信息、设置错误页面重定向、修改server头、限制访问IP、权限回收启动脚本、规范访问日志以及编写清理脚本等，以增强服务器安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1 telnet管理端口强制
vim /usr/local/tomcat/conf/server.xml
原

<Server port="8005" shutdown="SHUTDOWN">

修改修改端口修改shutdown对应命令改为任意字符串

 <Server port="8527" shutdown="dangerous">

2 ajp连接端口保护推荐
原

<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />

修改修改端口删除redirectPort

<Connector port="8009" protocol="AJP/1.3" />

3 禁用管理端强制
删除{Tomcat安装目录}/webapps下默认的所有目录和文件；
将tomcat 应用根目录配置为tomcat安装目录以外的目录；

<Context path="" docBase="/home/work/local/tomcat_webapps"
debug="0"
reloadable="false"
crossContext="true"/>

4 降权启动
[root@tom01 conf]# cp -a /usr/local/tomcat/ /home/tomcat/
[root@tom01 home]# chown -R tomcat.tomcat /home/tomcat/
[root@tom01 conf]#useradd tomcat -u 1000
[root@tom01 conf]# su - tomcat
[tomcat@tom01 ~]$ /usr/local/tomcat-shell/start_tomcat.sh /home/tomcat/
ps -aux|grep java

5 文件列表访问控制强制
conf/web.xml文件中default部分listings的配置必须为false
vim /usr/local/tomcat/conf/web.xml
<init-param> <param-name>listings</param-name> <param-value>false</param-value> </init-param>
false为不列出目录文件，true为允许列出，默认为false

6版本信息隐藏强制
vim /usr/local/tomcat/conf/web.xml
重定向403、404以及500等错误到指定的错误页面
也可以通过修改应用程序目录下的WEB-INF/web.xml下的配置进行错误页面的重定向
1 进入tomcat的lib目录找到catalina.jar文件
2 unzip catalina.jar之后会多出两个文件夹 META-INF org
3 进入org/apache/catalina/util 编辑配置文件ServerInfo.properties
4 修改
server.info=Apache Tomcat
server.number=0.0.0.0
server.built=Nov 7 2016 20:05:27 UTC
5 将修改后的信息压缩回jar包
cd /tomcat/lib
jar uvf catalina.jar org/apache/catalina/util/ServerInfo.properties
6 重启Tomcat

<error-page>
<error-code>403</error-code>
<location>/forbidden.jsp</location>
</error-page>
<error-page>
<error-code>404</error-code>
<location>/notfound.jsp</location>
</error-page>
<error-page>
<error-code>500</error-code>
<location>/systembusy.jsp</location>
</error-page>

在配置中对一些常见错误进行重定向，避免当出现错误时tomcat默认显示的错误页面暴露服务器和版本信息必须确保程序根目录下的错误页面已经存在

7 server header重写推荐
vim /usr/local/tomcat/conf/server.xml
原

<Connector port="8083" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" />

修改

<Connector port="8083" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" server="webserver" />

8 访问限制可选

<Context path="" docBase="/home/work/tomcat" debug="0" reloadable="false" crossContext="true">
<Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="61.148.18.138,61.135.165.*" deny="*.*.*.*"/>
</Context>

通过配置信任ip的白名单，拒绝非白名单ip的访问，此配置主要是针对高保密级别的系统，一般产品线不需要

9启停脚本权限回收推荐
chmod 744 /usr/local/tomcat/bin/*
防止其他用户有起停线上Tomcat的权限

10 访问日志的规范推荐
vim /usr/local/tomcat/conf/server.xml
原

<Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
               prefix="localhost_access_log" suffix=".txt"
               pattern="%h %l %u %t &quot;%r&quot; %s %b" />

修改开启Tomcat默认访问日志中的Referer和User-Agent记录

<Valve className="org.apache.catalina.valves.AccessLogValve"
                 directory="logs"  prefix="localhost_access_log." suffix=".txt"
                 pattern="%h %l %u %t %r %s %b %{Referer}i %{User-Agent}i %D" resolveHosts="false"/>

开启Referer和User-Agent是为了一旦出现安全问题能够更好的根据日志进行问题排查

11 编写启动脚本每次关闭tomcat的时候删除tomcat安装路径下的/tmp/* work/* 如果不删除的话在启动后可能会有一些意想不到的问题