CentOS安装Apache-2.4.10 安全配置,apache2.4安全配置

2019-08-03 03:42栏目:电脑操作

注:以下所有操作均在CentOS 6.5 x86_64位系统下完成。

CentOS安装Apache-2.4.10 安全配置,apache2.4安全配置

 

注:以下所有操作均在CentOS 6.5 x86_64位系统下完成。

 

#准备工作#

在安装Nginx之前,请确保已经使用yum安装了各基础组件,并且配置了www用户和用户组,具体见《CentOS安装Nginx-1.6.2 安全配置》。

另外还需要先安装以下几个组件: 

1、安装Sqllite:

# wget http://www.sqlite.org/2014/sqlite-autoconf-3080704.tar.gz
# tar zxf sqlite-autoconf-3080704.tar.gz
# cd sqlite-autoconf-3080704
# ./configure --prefix=/usr/local/sqlite-3.8.7.4
# make && make install

2、安装apr:

# tar zxf apr-1.4.5.tar.gz
# cd apr-1.4.5
# ./configure --prefix=/usr/local/apr-1.4.5
# make && make install

3、安装apr-util:

# tar zxf apr-util-1.3.12.tar.gz
# cd apr-util-1.3.12
# ./configure --prefix=/usr/local/apr-util-1.3.12 --with-apr=/usr/local/apr-1.4.5
# make && make install

 

#Apache的安装#

开始下载Apache并进行编译安装:

# cd /usr/local/src
# wget http://mirrors.hust.edu.cn/apache//httpd/httpd-2.4.10.tar.gz
# tar zxf httpd-2.4.10.tar.gz
# cd httpd-2.4.10
# ./configure --prefix=/usr/local/apache-2.4.10 --with-apr=/usr/local/apr-1.4.5 --with-apr-util=/usr/local/apr-util-1.3.12 --enable-dav --enable-so --enable-maintainer-mod --enable-rewrite --with-sqlite=/usr/local/sqlite-3.8.7.4
# make && make install
# cp /usr/local/apache-2.4.10/conf/httpd.conf /usr/local/apache-2.4.10/conf/httpd.conf.default
# ln -s /usr/local/apache-2.4.10/ /usr/local/apache

接着修改http.conf配置文件:

# vim /usr/local/apache-2.4.10/conf/httpd.conf

Listen 8888

User www
Group www

LoadModule dav_module modules/mod_dav.so
LoadModule dav_fs_module modules/mod_dav_fs.so
LoadModule rewrite_module modules/mod_rewrite.so

注:这里我们配置其监听端口是8888,并且开启DAV模块和Rewrite模块。

之后保存文件并开启apache服务:

# /usr/local/apache/bin/apachectl start

注意新版本的Apache已经禁止以root用户启动Apache,启动后如下所示:

# ps aux | grep httpd
www      10087  0.0  0.5 221664  2960 ?        Sl   15:41   0:00 /usr/local/apache-2.4.10/bin/httpd -k start
www      10088  0.0  0.5 221664  2964 ?        Sl   15:41   0:00 /usr/local/apache-2.4.10/bin/httpd -k start
www      10089  0.0  0.7 287200  3528 ?        Sl   15:41   0:00 /usr/local/apache-2.4.10/bin/httpd -k start
www      10171  0.0  0.5 221664  2968 ?        Sl   15:41   0:00 /usr/local/apache-2.4.10/bin/httpd -k start
root     12966  0.0  0.7  98588  3872 ?        Ss    2014   0:15 /usr/local/apache-2.4.10/bin/httpd -k start
root     10331  0.0  0.1 103252   836 pts/0    S    15:49   0:00 grep httpd

注:这里有个httpd进程是root的,这是正常的,因为启动后root才会fork出ww权限的进程,用户的请求由www权限进程处理。

这个时候打开浏览器访问地址

图片 1

至此,Apache已经安装完毕并且已经启动成功。

 

#Apache的安全配置#

1、Apache默认是允许目录浏览的,如果目录下没有索引文件则会出现目录浏览漏洞,所以这里需要关闭目录浏览。这里直接选择全局关闭:

# vim /usr/local/apache/conf/httpd.conf

<Directory "/usr/local/apache-2.4.10/htdocs">
    Options Indexes FollowSymLinks
    Require all granted
</Directory>

注:原来的Indexes改成-Indexes,也可以选择在.htacess文件中部分禁止该功能,或者直接把Indexes这行删除。

2、Apache默认输出的banner会泄漏关键信息,比如服务器OS类型、Apache版本等。可以禁止起输出这些信息:

# vim /usr/local/apache/conf/httpd.conf

ServerSignature Off
ServerTokens Prod

注:直接在文件末尾添加内容即可。

3、开启访问日志并正确配置其路径(默认已开启):

# vim /usr/local/apache/conf/httpd.conf

<IfModule log_config_module>
    CustomLog "logs/access_log" common
</IfModule>

4、确保目录安全,由于是以www用户启动Apache的,所以可以设置Web目录和文件的属主为root用户,Web目录统一设置权限为755,Web文件权限统一设置为644(cgi文件若需执行可设置为755),只有上传目录需要可读写的权限设置为777。

# chown -R root:root /data/www/
# chmod 755 /data/www/
# chmod -R 777 /data/www/upload

另外,为了防止黑客上传可执行脚本到777目录下,必须设置该目录为不能执行或访问脚本,比如:

# vim /usr/local/apache/conf/httpd.conf

<Directory "/usr/local/apache/htdocs/yourpath">
    Options None
    AllowOverride None
    Order deny,allow
    Deny from all
    <FilesMatch ".(jpg|jpeg|gif|png)$">
        Order deny,allow
        Allow from all
    </FilesMatch>
</Directory>

5、对管理目录设置访问IP名单限制,比如:

# vim /usr/local/apache/conf/httpd.conf

<Directory "/usr/local/apache/htdocs/admin">
Order deny,allow
Deny from all
Allow from pair 11.12.23.0/24
</Directory>

6、去掉UserDir功能(默认已关闭)。

 

注:以下所有操作均在CentOS 6.5 x86_64位系统下完成。 #准备工作# 在安装Nginx之前,请确保已...

#准备工作#

在安装Nginx之前,请确保已经使用yum安装了各基础组件,并且配置了www用户和用户组,具体见《CentOS 6.5安装Nginx-1.6.2及安全配置》。

另外还需要先安装以下几个组件: 

1、安装Sqllite:

# wget http://www.sqlite.org/2014/sqlite-autoconf-3080704.tar.gz
# tar zxf sqlite-autoconf-3080704.tar.gz
# cd sqlite-autoconf-3080704
# ./configure --prefix=/usr/local/sqlite-3.8.7.4
# make && make install

2、安装apr:

# tar zxf apr-1.4.5.tar.gz
# cd apr-1.4.5
# ./configure --prefix=/usr/local/apr-1.4.5
# make && make install

3、安装apr-util:

# tar zxf apr-util-1.3.12.tar.gz
# cd apr-util-1.3.12
# ./configure --prefix=/usr/local/apr-util-1.3.12 --with-apr=/usr/local/apr-1.4.5
# make && make install

#Apache的安装#

开始下载Apache并进行编译安装:

# cd /usr/local/src
# wget http://mirrors.hust.edu.cn/apache//httpd/httpd-2.4.10.tar.gz
# tar zxf httpd-2.4.10.tar.gz
# cd httpd-2.4.10
# ./configure --prefix=/usr/local/apache-2.4.10 --with-apr=/usr/local/apr-1.4.5 --with-apr-util=/usr/local/apr-util-1.3.12 --enable-dav --enable-so --enable-maintainer-mod --enable-rewrite --with-sqlite=/usr/local/sqlite-3.8.7.4
# make && make install
# cp /usr/local/apache-2.4.10/conf/httpd.conf /usr/local/apache-2.4.10/conf/httpd.conf.default
# ln -s /usr/local/apache-2.4.10/ /usr/local/apache

接着修改http.conf配置文件:

# vim /usr/local/apache-2.4.10/conf/httpd.conf

Listen 8888

User www
Group www

LoadModule dav_module modules/mod_dav.so
LoadModule dav_fs_module modules/mod_dav_fs.so
LoadModule rewrite_module modules/mod_rewrite.so

注:这里我们配置其监听端口是8888,并且开启DAV模块和Rewrite模块。

之后保存文件并开启apache服务:

# /usr/local/apache/bin/apachectl start

注意新版本的Apache已经禁止以root用户启动Apache,启动后如下所示:

# ps aux | grep httpd
www      10087  0.0  0.5 221664  2960 ?        Sl   15:41   0:00 /usr/local/apache-2.4.10/bin/httpd -k start
www      10088  0.0  0.5 221664  2964 ?        Sl   15:41   0:00 /usr/local/apache-2.4.10/bin/httpd -k start
www      10089  0.0  0.7 287200  3528 ?        Sl   15:41   0:00 /usr/local/apache-2.4.10/bin/httpd -k start
www      10171  0.0  0.5 221664  2968 ?        Sl   15:41   0:00 /usr/local/apache-2.4.10/bin/httpd -k start
root     12966  0.0  0.7  98588  3872 ?        Ss    2014   0:15 /usr/local/apache-2.4.10/bin/httpd -k start
root     10331  0.0  0.1 103252   836 pts/0    S    15:49   0:00 grep httpd

注:这里有个httpd进程是root的,这是正常的,因为启动后root才会fork出ww权限的进程,用户的请求由www权限进程处理。

这个时候打开浏览器访问地址

图片 2

至此,Apache已经安装完毕并且已经启动成功。

#Apache的安全配置#

1、Apache默认是允许目录浏览的,如果目录下没有索引文件则会出现目录浏览漏洞,所以这里需要关闭目录浏览。这里直接选择全局关闭:

# vim /usr/local/apache/conf/httpd.conf

<Directory "/usr/local/apache-2.4.10/htdocs">
    Options Indexes FollowSymLinks
    Require all granted
</Directory>

注:原来的Indexes改成-Indexes,也可以选择在.htacess文件中部分禁止该功能,或者直接把Indexes这行删除。

2、Apache默认输出的banner会泄漏关键信息,比如服务器OS类型、Apache版本等。可以禁止起输出这些信息:

# vim /usr/local/apache/conf/httpd.conf

ServerSignature Off
ServerTokens Prod

注:直接在文件末尾添加内容即可。

3、开启访问日志并正确配置其路径(默认已开启):

# vim /usr/local/apache/conf/httpd.conf

<IfModule log_config_module>
    CustomLog "logs/access_log" common
</IfModule>

4、确保目录安全,由于是以www用户启动Apache的,所以可以设置Web目录和文件的属主为root用��,Web目录统一设置权限为755,Web文件权限统一设置为644(cgi文件若需执行可设置为755),只有上传目录需要可读写的权限设置为777。

# chown -R root:root /data/www/
# chmod 755 /data/www/
# chmod -R 777 /data/www/upload

另外,为了防止黑客上传可执行脚本到777目录下,必须设置该目录为不能执行或访问脚本,比如:

# vim /usr/local/apache/conf/httpd.conf

<Directory "/usr/local/apache/htdocs/yourpath">
    Options None
    AllowOverride None
    Order deny,allow
    Deny from all
    <FilesMatch ".(jpg|jpeg|gif|png)$">
        Order deny,allow
        Allow from all
    </FilesMatch>
</Directory>

5、对管理目录设置访问IP名单限制,比如:

# vim /usr/local/apache/conf/httpd.conf

<Directory "/usr/local/apache/htdocs/admin">
Order deny,allow
Deny from all
Allow from pair 11.12.23.0/24
</Directory>

6、去掉UserDir功能(默认已关闭)。

本文永久更新链接地址:http://www.linuxidc.com/Linux/2016-12/137985.htm

图片 3

版权声明:本文由威尼斯人app发布于电脑操作,转载请注明出处:CentOS安装Apache-2.4.10 安全配置,apache2.4安全配置