jsp服务器安全[服务器安全]

 

1、本身是以系统服务运行,降权,用普通用户来运行

改正Tomcat安装文件夹的拜候权限

 

1. 选定环境参数CATALINA_HOME或TOMCAT_HOME指向的Tomcat安装文件夹.

2. 为"ITOMCAT_计算机名"用户赋予读、写、履行的拜候权限.

3. 为"ITOMCAT_计算机名"用户赋予对WebApps文件夹的只读拜候权限.

4. 假如某些Web利用程序需求写拜候权限,单独为其授与对那个文件夹的写拜候权限.

当你需求Tomcat作为系统服务运行时,采纳以下步骤:

 

1. 到"掌握面板",挑选"管理工具",然后挑选"服务".

2. 找到Tomcat:比方Apache Tomcat.exe等等,翻开其"属性".

3. 挑选其"登录"(Log)标签.

4. 挑选"以...登录"(Log ON Using)选项.

5. 键入新建的"ITOMCAT_计算机名"用户作为用户名.

6. 输入密码.

7. 重启服务就行.

 

2、假如是以普通用户运行的话,那JDK的安装目录也要给这个用户权限,不然tomcat启动不了的.

3、禁止列表 www.badguest.cn

    假如浏览者可以在客户端浏览Web目录,那将会存在较大的安全隐患,因此我们要确认Tomcat的设置中禁止列目录.设置文件是web.xml,也在conf目录下.用记事本翻开该文件,搜索init-param在其四周找到近似以下字段:　　

<init-param>

<param-name>listings</param-name>

<param-value>false</param-value>

</init-param>　　

　　确认是false而不是true

4、后台管理

Tomcat的后台管理员为admin并且默许为空密码,安全期间我们需求改正该默许的用户名并为其设置结实的密码.其配置文件为 tomcat-users.xml,用记事本翻开该文件然后举行改正.此中role标签表示其权限,manager阐明是管理员权限;user标签表示后 台管理用户,可以看到用户名为admin,我们可以将其改正成一个陌生的用户;可以看到password背面为空密码,我们可认为其设置一个复杂的密码. 最后改正配置完成的tomcat-users.xml文件为:　

<?xml version='1.0' encoding='utf-8'?>

<tomcat-users>

<role rolename="manager"/>

<role rolename="admin"/>

<user username="gslw" password="test168" roles="admin,manager"/>

</tomcat-users>

5、错误页面

 

　　Tomcat不像IIS供应了各种范例的错误页,假如Tomcat发生错误就会显示千篇一概的错误页面.其实我们可以通过改正其配置文件,从而自定义设置其错误页面的显示.翻开web.xml文件,在最后一行的之前增添以下的语句:　　

<error-page>

<error-code>401</error-code>

<location>/401.htm</location>

</error-page>

<error-page>

<error-code>404</error-code>

<location>/404.htm</location>

</error-page>

<error-page>

<error-code>500</error-code>

<location>/500.htm</location>

</error-page>

　　当然,仅仅设置这样的语句还不行,需求成立呼应的401.htm、404.htm、500.htm这样的文件才行.别的,要把错误页面文件放到webapps\manager目录中,不然需求在web.xml中指定其途径

 

6、更改端口

　　Tomcat的默许端口是8080,攻击者可以据此运行扫描工具举行端口扫描,从而获得布置了Tomcat的Web服务器然后实施攻击.因 此, 为了安全期间我们可以改正此默许端口.在Tomcat的安装途径的conf目录下找到server.xml文件,用记事本翻开然后搜索8080找到对应的 字段,然后将8080自行改正成别的的数字.别的,需求阐明的是connectionTimeout="20000"是衔接超 时,maxThreads="150"是最大线程近似这样的参数也可以按照需求举行改正.