CentOS中Tomcat的安全設置指南

在CentOS系統中配置Tomcat以提高安全性，可以遵循以下步驟：

初始化配置

• 刪除默認目錄：首次安裝完成后，刪除 /srv/apache-tomcat/webapps 下的所有內容，以防止惡意代碼的部署。

  rm -rf /srv/apache-tomcat/webapps/*
  

• 注釋或刪除 tomcat-users.xml：注釋或刪除所有用戶權限，以減少潛在的安全風險。

  # cat conf/tomcat-users.xml
  # <?xml version='1.0' encoding='utf-8'?>
  # <tomcat-users></tomcat-users>
  

• 隱藏Tomcat版本信息：修改 server.xml 文件，添加 server 屬性以隱藏Tomcat版本信息。

  vim $CATALINA_HOME/conf/server.xml
  # 在Connector節點添加server屬性
  <Connector port="8080" protocol="HTTP/1.1" ... server="MyAppServer/1.0"/>
  

用戶與端口管理

• 使用非root用戶啟動Tomcat：創建一個新用戶并賦予其Tomcat目錄的權限，以避免使用root用戶啟動Tomcat。

  useradd -p password myuser
  chown -R myuser:myuser /usr/java/tomcat7/*
  

• 配置防火墻：允許特定端口（如8080）的訪問，并禁止其他端口的訪問。

  sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
  sudo firewall-cmd --reload
  

應用程序安全

• 關閉自動部署：在 server.xml 中設置 unpackWARs="false" 和 autoDeploy="false"，以防止自動部署惡意WAR文件。

  <Host name="localhost" appBase="webapps" unpackWARs="false" autoDeploy="false">
  

• 修改JSESSIONID：將JSESSIONID改為PHPSESSID，以減少會話劫持的風險。

  <Context sessionCookiePath="/myapp" sessionCookieHttpOnly="true" sessionCookieSecure="true"/>
  

• 刪除不必要的目錄：刪除 webapps 目錄下的 docs、examples、host-manager、manager、ROOT 等目錄，以減少潛在的攻擊面。

  rm -rf /srv/apache-tomcat/webapps/docs /srv/apache-tomcat/webapps/examples /srv/apache-tomcat/webapps/host-manager /srv/apache-tomcat/webapps/manager /srv/apache-tomcat/webapps/ROOT
  

配置HTTPS

• 獲取SSL證書：從可信的證書頒發機構獲取SSL證書。
• 配置Tomcat使用HTTPS：修改 server.xml 文件，添加SSL連接器。

  <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol" maxThreads="150" SSLEnabled="true" scheme="https" secure="true" clientAuth="false" sslProtocol="TLS" keystoreFile="/path/to/your/keystore" keystorePass="yourKeystorePassword"/>
  

系統Banner

• 禁止Tomcat在ResponseHeader返回server信息：修改 server.xml 文件，添加 server 屬性。

  <Connector port="8080" protocol="HTTP/1.1" ... server="MyAppServer/1.0"/>
  

其他安全措施

• 使用Systemd管理服務：創建并啟用Tomcat的Systemd服務文件，以便更好地管理Tomcat服務。

  sudo systemctl daemon-reload
  sudo systemctl enable tomcat
  sudo systemctl start tomcat
  

通過以上步驟，可以顯著提高CentOS中Tomcat的安全配置。建議定期審查和更新安全設置，以應對新的安全威脅。