来谈谈：Apache 平安设置办法
写学习日记，这是学习历程的见证，同时我坚持认为是增强学习信念的法宝。以上是我学习Linux的心得体会，希望对大家的学习有所帮助，由于水平有限，本文难免有所欠缺，望请指正。令Apache占据Web服务器残山剩水的一个主要缘故原由就是它能够供应一个平安的Web操纵情况。Apache整体为包管其平安性做了大批的事情。想昔时，在此产物被发明存在一个平安缺点时，Apache的开辟职员就尽快地弄出了一个补钉。
但是，即管Apache已可谓平安的产物，假如你在构建你的服务器时没有接纳一些平安防备措施，这类Web服务器仍易于遭到良多打击。
在本文中，笔者将为你供应10个技能，借此你能够回护本人的ApacheWeb服务器免于遭到很多打击。不外，必需服膺，你必要细心地评价每个技能，以确保其合适于你的构造。
只安装所必要的
Apache的一个最年夜的特性是其天真性和大批的可选择安装模块，这在触及到平安成绩时可成为一个极年夜的缺点。你安装的越多，也就为潜伏的打击者制造了越年夜的打击面。一个尺度的Apache安装包括20多个模块，包含CGI特征，和一些身份考证机制。假如你不盘算接纳CGI，而且你只想接纳静态的Web站点，不必要用户身份考证，你大概就不必要这些模块所供应的任何服务，因而在安装Apache时请禁用这些模块。
假如你相沿了一个正在运转的Apache服务器，而且不想从头安装它，就应该细心反省httpd.conf设置文件，查找以LoadModule开首的行。请反省Apache的文档（也能够用Google、Yahoo等搜刮），查找每一个模块的目标信息，找出那些你其实不必要的模块。然后，从头启动Apache。
表露水平最小化
Apache易于安装而且相称简单办理。不幸的是，很多Apache的安装因为为完整的生疏者供应了关于本人服务器的太多"有匡助”的信息，比方Apache的版本号和与操纵体系相干的信息。经由过程这类信息，一个潜伏的打击者就能够追踪特定的能够影响你的体系的损坏性毛病，出格是你没有可以坚持一切补钉的更新的话情形更加严峻。云云一来，打击者无需重复实验就能够切实地晓得你在运转甚么，从而能够调剂其打击办法。
要避免服务器播送敏感信息，必定要包管将httpd.conf中的"ServerSignature”指令设置为"off”。一次默许的Apache安装会将此指令设置为"off”，不外很多办理员却启用了它。
一样地，禁用目次扫瞄也是一个不错的注重。在目次扫瞄被启用时，会见一个其实不包括其所必要文档的目次的用户，会看到此目次中完全的内容列表。无疑，你不该当将敏感质料以纯文本的情势存储到一个Web服务器上，除非你必需如许做，你也不该该同意人们看到凌驾其必要的内容。
目次扫瞄默许地是被启用的。要禁用这个特征，应编纂http.conf文件，并且对每个"Directory”指令，应扫除"Indexs”。
比方，在笔者的做实行用的Apache2.2.4服务器上，这是默许的目次命令：
.代码以下:
<Directory"/usr/local/apache/htdocs">
OptionsIndexesFollowSymLinks
AllowOverrrideNone
Orderallow,deny
Allowfromall
</Directory>
扫除Indexes后的模样：
.代码以下:
<Directory"/usr/local/apache/htdocs">
OptionsFollowSymLinks
AllowOverrrideNone
Orderallow,deny
Allowfromall
</Directory>
你也能够保存Indexes指令，并用一个破折号引诱，从而禁用此指令（也就是"-Indexes”）。
禁用标记毗连追踪
假如你是独一一个校正Web内容的职员，而你在创立新的标记毗连时又几近不出错误，你大概不会忧虑此措施。不外，假如你有良多职员可以向你的站点增添内容，并不是一切的人都像你一样审慎处置，那末就会有一种风险，即某个用户大概偶尔会创立一个标记毗连指向你的文件体系的一部分，而你又的确不想让人们看到这些文件。比方，假如你的Apache服务器的根目次中的或人创立了一个指向"/”文件夹的标记毗连，你该怎样办？
为了作废Apache服务器同意用户追踪标记毗连的哀求，应当在Directory命令中扫除FollowSymlinks指令。
比方，在笔者的实验性的Apache2.2.4服务器中，Directory命令以下：
.代码以下:
<Directory"/usr/local/apache/htdocs">
OptionsIndexesFollowSymLinks
AllowOverrrideNone
Orderallow,deny
Allowfromall
</Directory>
在扫除了FollowSymLinks后，就成为以下的模样：
.代码以下:
<Directory"/usr/local/apache/htdocs">
OptionsIndexes
AllowOverrrideNone
Orderallow,deny
Allowfromall
</Directory>
假如一些用户必要跟踪标记毗连的才能，能够思索利用SymLinksIfOwnerMatch取代。
Listen指令详细化
在你第一次安装Apache时，httpd.conf包括一个"Listen80”指令。应将其改动为"Listenmn.xx.yy.zz:80”，在这里"mn.xx.yy.zz”是你想让Apache监听其哀求的IP地点。假如你的Apache运转在一个具有多个IP地点的服务器上时，这一点特别主要。假如你不接纳防备措施，默许的"Listen80”指令告知Apache监听每个IP地点的80端口。
不外，这项措施有大概不合用于你的情况，应依据必要而定。
从httpd.conf中扫除默许的正文
Apache2.2.4中默许的httpd.conf文件有400多行。在这400行中，只要一小部分是实践的Apache指令，其他的仅是匡助用户怎样得当地在httpd.conf中安排指令的正文。依据笔者的履历，这些正文偶然起负面感化，乃至将伤害的指令保存于文件中。笔者在所办理的很多Apache服务器大将httpd.conf文件复制为别的的文件，如httpd.conf.orig等，然后完整扫除过剩的正文。文件变得加倍简单浏览，从而更好地办理了潜伏的平安成绩大概毛病地设置文件。
没作任何设置前，检察web服务器哀求文件头
HTTP/1.1200OK
Date:Sun,27Apr200811:56:46GMT
Server:Apache/2.2.8(Unix)DAV/2PHP/5.2.5withSuhosin-Patch
Last-Modified:Sat,20Nov200420:16:24GMT
ETag:"387a5-2c-3e9564c23b600"
Accept-Ranges:bytes
Content-Length:44
Content-Type:text/html
几近把web服务器具体信息都暴出来了，假如没个版本的apache和php爆出严峻毛病，会给打击者供应最有打击代价的平安信息，这长短常伤害的
将apache的设置文件加上两行
ServerTokensProductOnly
ServerSignatureOff
重启apache让设置失效
再次收回apache头信息哀求
HTTP/1.1200OK
Date:Sun,27Apr200811:57:40GMT
Server:Apache
Last-Modified:Sat,20Nov200420:16:24GMT
ETag:"387a5-2c-3e9564c23b600"
Accept-Ranges:bytes
Content-Length:44
Content-Type:text/html
能够看到apache版本号于已没有了
做到这点，我们还能够改动apache的版本，这就要修正apache的源代码了，在apache的源码包中找到ap_release.h将#defineAP_SERVER_BASEPRODUCT"Apache"修正为#defineAP_SERVER_BASEPRODUCT"Microsoft-IIS/5.0”
大概#defineAP_SERVER_BASEPRODUCT"Microsoft-IIS/6.0”
然后找到os/unix下的os.h文件，将其#definePLATFORM"Unix"修正为#definePLATFORM"Win32"
然后从头编译，安装apache。
最初修正httpd.conf设置文件，增加两行ServerTokensProd
ServerSignatureOff
在发送头哀求，会有甚么，就不必我说了吧，嘿嘿，这叫批红判白，从这点来讲，php也是一样，一样能够经由过程这类体例改动一些体系信息，不外依据GPL开源的精力，如许做貌似不太好，仍是保存apache和php版权信息吧。
附：
ServerSignature三个选项
On|Off|EMai次要起开关感化
ServerTokens四个选项
Minimal|ProductOnly|OS|Full四个选项埋没信息顺次增添
上面对php的设置文件php.ini举行设置
默许情形下expose_php=On
将其改成expose_php=Off
为何，能够看这段注释
;DecideswhetherPHPmayexposethefactthatitisinstalledontheserver
;(e.g.byaddingitssignaturetotheWebserverheader).Itisnosecurity
;threatinanyway,butitmakesitpossibletodeterminewhetheryouusePHP
;onyourserverornot.
然后克制一些触及php平安的函数
disable_functions=phpinfo,get_cfg_var//克制phpinfo和get_cfg_var等函数
display_errors=Off//克制爆堕落误
allow_url_fopen=Off//这个封闭，就没有举措取远程内容了，可是能够用变通，用curl远程读取的办法做到
safe_mode=On//开启平安形式，这个开了，大概会有些php功效没举措利用了
不管怎样，仍是要我们的程序计划的完善，一样平常来讲，纯真更具对体系打击很难，假如是程序有毛病，那打击就复杂了。
但不会命令而成为高手也是不可能的.这就好比学英语,什么语法都不懂,只捧着单词手册背单词是学不会英语的,但是没有单词词汇量英语水平也提不高的。 要增加自己Linux的技能，只有通过实践来实现了。所以，赶快找一部计算机，赶快安装一个Linux发行版本，然后进入精彩的Linux世界，相信对于你自己的Linux能力必然大有斩获。 把这个问题放在其他Linux社区请求帮助也是一种选择。如果Linux得不到答案，请不要以为我们觉得无法帮助你。有时只是看到你问题的人不知道答案罢了。这时换一个社区是不错的选择。 随着Linux技术的更加成熟、完善，其应用领域和市场份额继续快速增大。目前，其主要应用领域是服务器系统和嵌入式系统。然而，它的足迹已遍布各个行业，几乎无处不在。 通过一条缓慢的调制解调器线路，它也能操纵几千公里以外的远程系统。 现在的linux操作系统如redhat，难点，红旗等，都是用这么一个内核，加上其它的用程序(包括X)构成的。 熟读写基础知识，学得会不如学得牢。 可以说自己收获很大，基本上完成了老师布置的任务，对于拔高的题目没有去做，因为我了解我的水平，没有时间和精力去做。? Linux最大的特点就是其开源性，这一点是十分难得的，这也是它能够存在到现在的原因之一。
页:
[1]