tomcat安全加固手册

项目场景：

         tomcat 渗透测试
         

---

问题描述：

 

 根据  tomcat安全加固手册 改渗透所会涉及安全问题。

---

下载tomca的最新版本

tomcat版本与jdk版本对应

隐藏tomcat版本号

修改tomca目录

/lib/catalina.jar解压的文件下的：\org\apache\catalina\util\ServerInfo.properties文件修改后替换该文件

server.info=Apache Tomcat
server.number=1
server.built=Jan 28 2021 09:12:57 UTC

 

删除webapps文件夹下的示例程序及文档

项目打war包后方webapps文件夹里其他文件删除掉

tomcat版本泄露：

Apache-Coyote/1.1自定义

apache-tomcat-7.0.108\conf\server.xml 修改：

<Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000" server="server"
               redirectPort="8443" URIEncoding="UTF-8" maxPostSize="-1" maxHttpHeaderSize ="1024000"/>

禁止登录

注释掉/conf/tomcat-users.xml中的用户信息：

<!--
  <role rolename="tomcat"/>
  <role rolename="role1"/>
  <user username="tomcat" password="<must-be-changed>" roles="tomcat"/>
  <user username="both" password="<must-be-changed>" roles="tomcat,role1"/>
  <user username="role1" password="<must-be-changed>" roles="role1"/>
-->

自定义SHUTDOWN 字符串

修改conf/server.xml中shutdown值为自定义复杂字符串：

<Server port="8005" shutdown="SBSBSBSBSBUSB">

 

开启日志审核

取消日志配置注释：

 

禁止列出目录

修改conf/web.xml的listings为false