应用程序加固Tomcat篇

Posted 2021-04-04 IT外包

1 检查是否禁止Tomcat列表显示文件

将web.xml文件中listings配置false

2 检查是否禁止超级用户启用tomcat

使用普通用户启动tomcat

3检查是否配置Tomcat错误页面重定向

1. web.xml文件中是否存在Tomcat错误页面404,403,500重定向error-code配置示例：<error-code>404</error-code>,XML路径：web-app/error-page/error-code

4 检查是否设置连接数

1. server.xml文件中配置maxThreads=25

2. server.xml文件中配置minSpareThreads=75

XML路径：Server/Service/Connector

5 检查是否更改Tomcat服务器默认端口

1. server.xml文件中HTTP协议的端口设置不为8080

6 检查是否禁用危险的HTTP 方法

web.xml文件中readonly配置true

XML路径：

web-app/servlet/init-param/param-name

web-app/servlet/init-param/param-value

7 检查是否支持HTTPS等加密协议

server.xml文件中是否配置keystoreFile SSL证书文件路径；示例：keystoreFile=”/path/to/my/keystore”

8 检查tomcat用户是否具有管理权限

tomcat-users.xml文件中配置tomcat账号manager权限

9 检查是否禁用manager功能

仅供参考：删除$CATALINA_HOME/webapps/目录中manager文件夹

10 检查是否配置访问模块审计错误信息日志

server.xml文件中<valve classname='org.apache.catalina.valves.AccessLogValve' Directory='logs' prefix='localhost_access_log.' Suffix='.txt' Pattern='common' resloveHosts='false'/>是否存在该内容；示例：<valve classname='org.apache.catalina.valves.AccessLogValve' Directory='logs' prefix='localhost_access_log.' Suffix='.txt' Pattern='common' resloveHosts='false'/>

11 检查是否启用日志功能

server.xml文件中<valve classname='org.apache.catalina.valves.AccessLogValve' Directory='logs' prefix='localhost_access_log.' Suffix='.txt' Pattern='common' resloveHosts='false'/>是否存在该内容；示例：<valve classname='org.apache.catalina.valves.AccessLogValve' Directory='logs' prefix='localhost_access_log.' Suffix='.txt' Pattern='common' resloveHosts='false'/>

图片和内容源自网络分享，若有侵权，请联系删除！