容易忽略的Tomcat安全问题

最新推荐文章于 2024-04-26 21:07:41 发布

转载最新推荐文章于 2024-04-26 21:07:41 发布 · 76 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/ilovecss/archive/2013/04/29/3051256.html

文章标签：

#java #web.xml

本文介绍如何通过修改Tomcat的server.xml文件，将shutdown指令替换为不易被猜测的字符串，以增强服务器安全性。同时，指导如何修改web.xml文件来屏蔽目录列表的默认行为，保护敏感信息不被非授权访问。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1、server.xml默认有下面一行：

这样允许任何人只要telnet到服务器的8005端口，输入"SHUTDOWN"，然后回车，服务器立即就被关掉了。

从安全的角度上考虑，我们需要把这个shutdown指令改成一个别人不容易猜测的字符串。

例如修改如下：

<Server port="8006" shutdown="abc">，这样就只有在telnet到8006，并且输入"abc"才能够关闭Tomcat.

注意：这个修改不影响shutdown.bat的执行。运行shutdown.bat一样可以关闭服务器。

2、缺省情况下，如果你访问tomcat下的一个web应用，那么如果你输入的是一个目录名，而且该目录下没有一个可用的welcome文件，那么tomcat会将该目录下的所有文件列出来，如果你想屏蔽这个缺省行为，那么可以修改conf/web.xml文件，将其中的：

<servlet>
<servlet-name>default</servlet-name>
<servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class>
<init-param>
<param-name>debug</param-name>
<param-value>0</param-value>
</init-param>
<init-param>
<param-name>listings</param-name>
<param-value>true</param-value>
</init-param>
<load-on-startup>1</load-on-startup>
</servlet>
修改为：
<servlet>
<servlet-name>default</servlet-name>
<servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class>
<init-param>
<param-name>debug</param-name>
<param-value>0</param-value>
</init-param>
<init-param>
<param-name>listings</param-name>
<param-value>false</param-value>
</init-param>
<load-on-startup>1</load-on-startup>
</servlet>

设置其他页

在web.xml文件中，有一段如下：
    <welcome-file-list>
        <welcome-file>index.html</welcome-file>
        <welcome-file>index.htm</welcome-file>
        <welcome-file>index.jsp</welcome-file>
    </welcome-file-list>
在<welcome-file-list>与<welcome-file>index.html</welcome-file>之间添加上：

<welcome-file>a.jsp</welcome-file>

转载于:https://www.cnblogs.com/ilovecss/archive/2013/04/29/3051256.html