Tomcat的相对安全设置与配置(安全与漏洞)

原创

已于 2022-03-25 15:05:41 修改 · 3.1k 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#java #tomcat

于 2020-09-29 16:29:53 首次发布

本文记录了系统漏洞测试后的Tomcat配置调整，包括删除默认示例文件、禁用不安全HTTP方法、禁止RC4加密算法以及清理缓存的两种方法。详细介绍了在server.xml和web.xml中进行的配置修改，旨在提升服务器的安全性和性能。

前言:

近期, 系统进行了漏洞测试, 更改了很多东西, 特写一篇文章进行记录 !!!

1丶存在Apache tomcat示例文件

解决方案: 删除webapps目录下的自带项目

2丶启用了不安全的HTTP方法

解决方案: 禁用未使用到的HTTP方法
1丶找到Tomcat下server.xml文件, 启用TRACE方法
//__原因: 先启用了, 我们才能禁用它, 否则禁用会失效

<Connector port="8765" protocol="HTTP/1.1" connectionTimeout="60000" redirectPort="8443" allowTrace="true" />

2丶找到Tomcat下web.xml文件,添加如下配置

<!-- 禁用不安全的http方法 -->
    <security-constraint>
        <web-resource-collection>
            <web-resource-name>DENY METHOD</web-resource-name>
            <url-pattern>/*</url-pattern>
            <http-method>PUT</http-method>
            <http-method>HEAD</http-method>
            <http-method>OPTIONS</http-method>
            <http-method>DELETE</http-method>
            <http-method>PATCH&