Apache防盗链和隐藏版本信息

Posted 2021-01-02

防盗链

如果一个网站没有其页面中所说的图片信息，那么它完全可以链接到其他网站的图片信息上。这样，没有任何资源的网站利用别的网站的资源来展示给浏览者，提高自己的访问量，而大部分浏览者又不容易发现。一些不良网站为了比增加成本而扩充自己站点内容，经常盗用其他网站的连接。一方面损害了原网站的合法利益，另一方面有增加了服务器的负担。

实验环境：

虚拟机Linux6.5系统上手工编译安装APache，搭建DNS服务，解析域名 www.benet.com  IP地址为 192.168.100.50

在虚拟机win7上搭建一个盗链网站，IP地址 192.168.100.11

以下是搭建Apache服务所需的软件包，和Fiddler抓包工具

链接：https://pan.baidu.com/s/12tL7nGtEUzE-h8wZLES_Zw 密码：3hun

由于在Linux6.5系统已经安装Apache服务，删除原来软件包，进行手动编译安装Apache模块压缩和缓存设置

1.yum remove httpd

2.创建挂载点/aaa 把装有Apache软件包的共享文件夹挂载

3.解压软件包到/opt/目录下
tar xzvf http-2.4.2.tar.gz -C /opt/
tar xzvf apr-1.4.6.tar.gz -C /opt/

tar xzvf apr-util-1.4.1.tar.gz -C /opt/

4.把解压后的文件复制到 /opt/httpd-2.4.2/srclib/目录下

5.安装编译环境

yum install gcc gcc-c++ pcre pcre-devel zlib-devel –y

6.手动编译安装，开启重新写入模块。

7.安装 

make && make install

8.反向过滤 /usr/local/httpd/bin/apache中带有“#”的内容，并把新文件导到/etc/init.d/httpd

9.编辑vim /etc/init.d/httpd ，在开头加入固定格式

10.更改/etc/init.d/httpd文件权限,具有执行权限，并开机自启动

11.建立软连接便于管理

ln -s /usr/local/httpd/conf/httpd.conf /etc/httpd.conf （注意：软连接使用绝对路径）

12编辑Apache主配置文件 vim /etc/httpd.conf

13.执行Apache脚本，查看语法是否正确

14.编辑Apacher 网站首页，在网站首页的配置文件z中添加一张图片

Apachce网站首页内容为“I t works !

由于图片放在共享文件LAMP中，其挂载点为/aaa. 因此将图片复制一份到  /usr/local/httpd/htdocs/

15.搭建DNS 服务，将域名www.benet.com 解析为IP 192.168.100.50

安装NDS软件包

16.配置DNS 的主配置文件 vim /etc/named.conf

配置区域配置文件

配置区域数据配置文件

17.启动Apache 的httpd 服务和DNS 服务

18。接下来要在win7系统上搭建一个盗链网站，IP 地址 1921.68.100.11

选择  控制面板 >程序  安装Internet 信息服务

.编辑盗链网站的首页，爱爱首页写入一段信息“ this is test !!!”,直接引用Aache网站的图片，图片来自www.bebnt.com

将这个文件的格式更改为index.html格式,并把文件放到C盘  >inetpub > wwwroot 文件夹中

添加DNS地址

19.在win7 测试，分别访问Apache 网站www.benet.com   和  盗链网站 192.168.100.11

有以上两张图可以看到盗链网站盗链图片成功，盗链网站本身是没有图片的。这样不仅损害了原网站的合法利益，另一方面有增加了服务器的负担。因此要通过设置防盗链，使其他网站无法盗用本网站的信息。

20.更改Apache的主配置文件，开启防盗链模块功能。vim /usr/local/httpd/conf/httpd.conf

21.将那张错误弹出的图片复制到  /usr/local/httpd/htdocs/

22.重启httpd 服务

23.再次访问Apache网站和盗链网站，开盗链网站是否会弹出错误图片

有以上两张图片可以看出，防盗链开启后。只有通过本地域名访问，才可以网站图片。盗链网站无法使用盗链图片了。防盗链设置成功。

二）.隐藏版本信息

一般情况下，软件的漏洞信息和特定版本是相关的，因此，软件的版本号对×××者来说很有价值。如果×××或别用用心的人得到Apache的版本信息，就会有针对性进行×××，给网站造成极大的损失，所以要隐藏版本号，减少受×××的风险，保护服务器的安全运行。

用Fidder抓包工具看到Apache 的版本信息

修改httpd.conf的配置文件，是httpd-default.conf 文件生效

然后修改httpd-default.conf 文件 vim httpd-default.conf

重启httpd 服务，访问网站抓包

版本信息被隐藏。