本帖最后由 sailyang 于 2020-4-19 19:31 编辑
一、服务器运行权限
Linux中Tomcat的运行权限与Tomcat的启动账户有关,比如以root用户启动,那么获得的shell权限就是root,当使用普通用户启动的时候,获得的shell权限就是普通用户。所以安全起见使用一个低权限的普通账户启动Tomcat。
Windows权限控制需要进行账户配置,新建一个Tomcat用户,并归属于Guests组,再给Tomcat目录设置相应的权限,将其中的文件上传的文件夹设置未不可知性,再将服务账户设置为服务登录账户(本地安全策略-》用户权限-》作为服务登录),再点击服务使用此账户登陆,重启服务
二、服务器后台管理
在Tomcat主页有三个按钮,分别表示进入服务器状态,管理服务器上部署的应用,管理主机界面。默认情况下时无发进入的,点击其中任何一个按钮都会提示用户名和密码的输入框,但是实际上Tomcat默认又没有配置任何用户名密码,在conf目录下tomcat-users.xml文件中设置管理用户名和密码(默认是注释掉的)
所以管理员有可能配置使用默认的账号密码 tomcat:tomcat both:tomcat role1:tomcat
在其中加入如下设置就可以使用tomcat账户访问了,“manager-gui”拥有访问前两个按钮的权限,“admin-gui”拥有访问前第三个按钮的权限
三、服务器访问控制
默认情况下Tomcat出错会爆出服务器的版本信息,这本身也是一种信息泄露,所以要尽可能将其隐藏。 进入tomcat的lib目录找到catalina.jar文件,将其解压然后进入org/apache/catalina/util编辑配置文件ServerInfo.properties
将版本信息去除,保存,然后再使用命令
jar uvf catalina.jar org/apache/catalina/util/ServerInfo.properties
这样Tomcat的版本信息就不会泄露了
四、禁止目录列表
为防止Web的目录遍历漏洞要禁止Web上显示目录列表,设置方法在Tomcat的conf文件夹中编辑web.xml文件,找到如下内容,如果标记的位置为true就会出现目录遍历,默认为false。 |