系统集成论坛

标题: 网站安全之jsp服务器安全设置 [打印本页]

作者: dkf910102 时间: 2012-8-21 10:37
标题: 网站安全之jsp服务器安全设置
服务器安全是一直我们关心的话题，如今，互联网的安全存在着很大的威胁，各种网络攻击不断，做好服务器安全维护是我们日常必需进行的工作，除了日常的维护以后，还要对服务器本身进行安全设置，下面笔者就跟大家分享一下jsp服务器安全设置技巧：

一、本身是以系统服务运行，降权，用普通用户来运行
修改Tomcat安装文件夹的访问权限

1. 选定环境参数CATALINA_HOME或TOMCAT_HOME指向的Tomcat安装文件夹。
2. 为"ITOMCAT_计算机名"用户赋予读、写、执行的访问权限。
3. 为"ITOMCAT_计算机名"用户赋予对WebApps文件夹的只读访问权限。
4. 如果某些Web应用程序需要写访问权限，单独为其授予对那个文件夹的写访问权限。
当你需要Tomcat作为系统服务运行时，采取以下步骤：

1. 到"控制面板"，选择"管理工具"，然后选择"服务"。
2. 找到Tomcat：比如Apache Tomcat.exe等等，打开其"属性"。
3. 选择其"登录"(Log)标签。
4. 选择"以...登录"(Log ON Using)选项。
5. 键入新建的"ITOMCAT_计算机名"用户作为用户名。
6. 输入密码。
7. 重启服务就行。

二、如果是以普通用户运行的话，那JDK的安装目录也要给这个用户权限，不然tomcat启动不了的。
三、禁止列表
   如果浏览者可以在客户端浏览Web目录，那将会存在较大的安全隐患，因此我们要确认Tomcat的设置中禁止列目录。设置文件是web.xml，也在conf目录下。用记事本打开该文件，搜索init-param在其附近找到类似如下字段：　　
<init-param>
<param-name>listings</param-name>
<param-value>false</param-value>
</init-param>　　
　　确认是false而不是true
四、后台管理
Tomcat的后台管理员为admin并且默认为空密码，安全期间我们需要修改该默认的用户名并为其设置健壮的密码。其配置文件为tomcat-users.xml，用记事本打开该文件然后进行修改。其中role标签表示其权限，manager说明是管理员权限;user标签表示后台管理用户，可以看到用户名为admin，我们可以将其修改为一个陌生的用户;可以看到password后面为空密码，我们可以为其设置一个复杂的密码。最后修改配置完成的tomcat-users.xml文件为：　
<?xml version='1.0' encoding='utf-8'?>
<tomcat-users>
<role rolename="manager"/>
<role rolename="admin"/>
<user username="gslw" password="test168" roles="admin,manager"/>
</tomcat-users>

   五、错误页面
  　　Tomcat不像IIS提供了各种类型的错误页，如果Tomcat发生错误就会显示千篇一律的错误页面。其实我们可以通过修改其配置文件，从而自定义设置其错误页面的显示。打开web.xml文件，在最后一行的之前添加如下的语句：　　
<error-page>
<error-code>401</error-code>
<location>/401.htm</location>
</error-page>
<error-page>
<error-code>404</error-code>
<location>/404.htm</location>
</error-page>
<error-page>
<error-code>500</error-code>
<location>/500.htm</location>
</error-page>
　　当然，仅仅设置这样的语句还不行，需要创建相应的401.htm、404.htm、500.htm这样的文件才行。另外，要把错误页面文件放到webappsmanager目录中，否则需要在web.xml中指定其路径

   六、更改端口
　　Tomcat的默认端口是8080，攻击者可以据此运行扫描工具进行端口扫描，从而获取部署了Tomcat的Web服务器然后实施攻击。因此，为了安全期间我们可以修改此默认端口。在Tomcat的安装路径的conf目录下找到server.xml文件，用记事本打开然后搜索8080找到对应的字段，然后将8080自行修改为另外的数字。另外，需要说明的是connectionTimeout="20000"是连接超时，maxThreads="150"是最大线程类似这样的参数也可以根据需要进行修改。

   关于jsp服务器安全设置问题笔者就讲到这里，希望对大家在做jsp服务器安全设置时有一定的帮助，如果你有疑问，可以咨询我们阅读其他相关文章！我们会给与及时的解答！
   本文由九河网络（美国服务器香港服务器）整理编辑，转载请注明出处！谢谢！

作者: dkf910102 时间: 2012-8-21 10:37
自己支持一下

作者: 思考的牛 时间: 2012-8-21 12:52
看看，以前关注JSP服务器安全方面不多。

欢迎光临系统集成论坛 (http://bbs.xtjc.com/)