正如我们前言所说尽管apache服务器应用最为广泛
设计上非常安全
但是同其它应用
样
apache也存在安全缺陷
毕竟它是完全源代码
apache服务器
安全缺陷主要是使用http协议进行
拒绝服务攻击(denial of service)、缓冲区溢出攻击以及被攻击者获得root权限 3缺陷和最新
恶意
攻击者进行“拒绝服务”(dos)攻击
合理
网络配置能够保护apache服务器免遭多种攻击
我们来介绍
下主要
安全缺陷
主要安全缺陷
(1)使用http协议进行
拒绝服务攻击(denial of service)
安全缺陷
这种思路方法攻击者会通过某些手段使服务器拒绝对http应答
这样会使apache对系统资源(cpu时间和内存)需求
剧增
最终造成apache系统变慢甚至完全瘫痪
(2)缓冲区溢出
安全缺陷
该思路方法攻击者利用
编写
些缺陷
使
偏离正常
流程
使用静态分配
内存保存请求数据
攻击者就可以发送
个超长请求使缓冲区溢出
(3)被攻击者获得root权限
安全缺陷
该安全缺陷主要是
apache服务器
般以root权限运行(父进程)
攻击者会通过它获得root权限
进而控制整个apache系统
(4)恶意
攻击者进行“拒绝服务”(dos)攻击
安全缺陷
这个最新在6月17日发现
漏洞
它主要是存在于apache
chunk encoding中
这是
个http协议定义
用于接受web用户所提交数据
功能
所有说使用最高和最新安全版本对于加强apache web服务器
安全是至关重要
正确维护和配置apache服务器
虽然apache服务器
开发者非常注重安全性
由于apache服务器其庞大
项目
难免会存在安全隐患
正确维护和配置apache web服务器就很重要了
我们应注意
些问题:
(1)apache服务器配置文件
apache web服务器主要有 3个配置文件
位于/usr/local/apache/conf目录下
这 3个文件是:
httpd.conf----->主配置文件
srm.conf------>填加资源文件
access.conf--->设置文件访问权限
(2)apache服务器
目录安全认证
在apache server中是允许使用 .htaccess做目录安全保护
欲读取这保护
目录需要先键入正确用户帐号和密码
这样可做为专门管理网页存放
目录或做为会员区等
在保护
目录放置
个档案
档名为.htaccss
authname "会员专区"
authtype "basic"
authuserfile "/var/tmp/xxx.pw" ----->把password放在网站WebSite外 require valid-user 到apache/bin目录
建password档 % ./htpasswd -c /var/tmp/xxx.pw username1 ----->第
次建档要用参数"-c" % /htpasswd /var/tmp/xxx.pw username2 这样就可以保护目录内
内容
进入要用合法
用户
注:采用了apache内附
模组
也可以采用在httpd.conf中加入:
options indexes followsymlinks
allowoverride authconfig
order allow,deny
allow from all
(3)apache服务器访问控制
我们就要看 3个配置文件中
第 3个文件了
即access.conf文件
它包含
些指令控制允许什么用户访问apache目录
应该把deny from all设为
化指令
再使用allow from指令打开访问权限
order deny,allow
deny from all
allow from safechina.net
延伸阅读
最新评论