名称

修改默认端口

说明

修改Tomcat默认端口

实施目的

通过修改端口，防止非法访问

问题影响

恶意访问

实施步骤

修改tomcat/conf/server.xml配置文件，更改默认端口8080到其他端口

<Connector port="8989" protocol="HTTP/1.1"

 connectionTimeout="20000"

 redirectPort="8443" />

修改完毕后重启tomcat

回退方案

恢复配置文件

确认方法

浏览器访问http://localhost:8989是否访问成功

实施风险

高

适用说明

Tomcat 6.0以上

名称

使用https登录tomcat

实施目的

防止传输数据被攻击者截获导致信息泄露

问题影响

信息泄露

实施步骤

a) 使用jdk自带的工具keytool生成https证书

keytool -genkeypair -alias "tomcat" -keyalg "RSA" -keystore "/path/to/my/keystore"

b) 修改tomcat/conf/server.xml配置文件,更改为使用https方式，增加如下行:

<connector< span=""></connector<>

protocol="org.apache.coyote.http11.Http11NioProtocol"

port="443" maxThreads="200"

scheme="https" secure="true" SSLEnabled="true"

 keystoreFile="path/to/my/keystore/devui.jks"

 keystorePass="PASSWORD"

clientAuth="false" sslProtocol="TLSv1.2" />

其中keystorePass为生成KEY时输入的密码

c)重启tomcat服务

回退方案

恢复配置文件

确认方法

使用https登录管理页面成功

实施风险

高

适用说明

名称

限制ip访问

说明

通过配置，限定访问的IP来源

实施目的

仅运行指定的ip访问tomcat

问题影响

恶意攻击

实施步骤

<Host name="localhost" appBase="/data/www/tomcat_webapps"

unpackWARs="true" autoDeploy="false">

<Valve className="org.apache.catalina.valves.RemoteAddrValve"

allow="192.168.1.10,192.168.1.30,192.168.2." deny=""/>

<Valve className="org.apache.catalina.valves.RemoteHostValve"

allow="www.test.com,.test.com" deny=""/>

回退方案

恢复配置文件

确认方法

使用非允许ip 无法访问

实施风险

高

适用说明

名称

开启服务器日志

说明

对日志信息进行设置

实施目的

对于运行错误,用户访问等行为进行日志记录,保证信息可跟踪

问题影响

在服务异常时,第一时间了解异常信息

实施步骤

编辑tomcat/conf/server.xml配置文件，在标签中增加记录日志的功能

将以下内容的注释标记()取消

<Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"

 prefix="localhostaccesslog" suffix=".txt"

 pattern="%h %l %u %t "%r" %s %b"

resloveHosts="false" />

以上参数中

directory为日志输出位置、prefix为日志文件名前缀、suffix是后缀名、pattern为日志内容输出格式、

resloveHosts 表示以域名的形式还是主机的形式表示主机

回退方案

恢复配置文件

确认方法

查看设置好的日志目录中文件是否记录完整

实施风险

中

适用说明

名称

限制日志文件大小

说明

限制服务器记录的日志大小

实施目的

防止攻击者通过恶意访问使日志文件膨胀,攻击服务器的硬盘空间

问题影响

恶意攻击

实施步骤

编辑tomcat/conf/logging.properties文件找到以下内容修改

java.util.logging.FileHandler.limit = 1000

回退方案

恢复配置文件

确认方法

日志大小将控制在某个数值不变

实施风险

中

适用说明

名称

禁用目录访问

说明

关闭tomcat中的目录访问功能

实施目的

防止攻击者得知服务器目录结构进行攻击

问题影响

非法访问

实施步骤

编辑tomcat/conf/web.xml文件

listings

false

回退方案

恢复配置文件

确认方法

在浏览器中无法访问目录

实施风险

低

适用说明

tomcat 6.0以上

名称

限制目录访问权限

说明

限制tomcat的关键目录的访问权限

实施目的

防止越权攻击

问题影响

非法访问

实施步骤

新建tomcat专用账户 jqsoft，tomcat项目用户jqsofapp

对tomcat目录进行权限设置

chwon jqsoft.jqsoft $TOMCATHOME -R

chmod g-w,o-rwx $TOMCATHOME -R

回退方案

恢复文件权限

确认方法

非权限用户无法进行操作访问

实施风险

低

适用说明

名称

针对文件上传漏洞修复

说明

当 Tomcat 运行在 Windows 主机上，且启用了 HTTP PUT 请求方法（例如，将 readonly 初始化参数由默认值设置为 false），攻击者将有可能可通过精心构造的攻击请求向服务器上传包含任意代码的 JSP 文件,JSP 件中的代码将能被服务器执行。

实施目的

防止上传文件被执行

问题影响

tomcat服务器被攻击

实施步骤

在tomcat/conf/web.xm中,编辑

  readonly

true

之后重启tomcat服务

或者升级tomcat到最新版本

回退方案

修改该值为false

确认方法

上传文件为只读

实施风险

未升级的版本将会禁用http put方法，如过升级最新版本后则无影响

适用说明

Apache Tomcat 7.0.0 - 7.0.81

名称

分离上传目录与项目目录

说明

如果tomcat有上传文件功能，项目目录与上传目录进行分离

实施目的

防止上传文件过大导致更新问题

问题影响

目录过大导致项目运行缓慢

实施步骤

a)新建项目上传文件虚拟目录/download

b)配置tomcat/conf/server.xml 在hosts标签添加虚拟目录/download如下

<Context path="/download" docBase="/download"

debug="0" reloadbale="false"/>

重启tomcat即可

回退方案

恢复配置文件

确认方法

上传文件在单独目录中

实施风险

中

适用说明

名称

账户分配

说明

为管理员分配不同的账户

实施目的

避免账户混迹，出现越权行为

问题影响

用户越权，管理混乱

实施步骤

修改tomcat/conf/tomcat-users.xml配置文件,修改或者添加账户

回退方案

恢复配置文件

确认方法

管理员登录正常，服务器不受影响

实施风险

低

适用说明

名称

密码复杂度

说明

对管理员密码进行强制强口令限制

实施目的

避免弱口令被攻击者保利破解

问题影响

系统安全性差

实施步骤

修改tomcat/conf/tomcat-user.xml配置文件,将password

进行强口令设置

回退方案

恢复配置文件

确认方法

管理员登录正常，服务器不受影响

实施风险

低

适用说明

名称

禁用管理控制台

说明

禁用tomcat管理控制台

实施目的

防止控制台被恶意使用

问题影响

系统安全性差

实施步骤

删除tomcat/conf/Catalina/localhost目录下的admin.xml和manager.xml

回退方案

恢复删除的文件

确认方法

浏览器输入http://localhost:8989无页面显示

实施风险

低

适用说明

名称

错误页面处理

说明

对页面产生错误时跳转的页面进行处理

实施目的

防止服务器目录泄露

问题影响

恶意攻击

实施步骤

**  

  404        

  /error.jsp   

  500       

  /error.jsp   

  java.lang.NullPointException        

  /error.jsp   

 新建文件error.jsp，输入以下内容

 <%@ page="" language="java" contenttype="text/html;charset=utf-8">

 <%@ page="" iserrorpage="true">

 <%>

程序发生异常，我们将尽快修正，请多多包涵！

回退方案

恢复配置文件

确认方法

以404为例,在浏览器中访问tomcat,输入一个不存在的页面看能否进行跳转

实施风险

高

适用说明

名称

删除不必要的文件

说明

删除tomcat中自带的web文件

实施目的

防止通过访问示例导致服务器信息泄露

问题影响

系统安全性差

实施步骤

删除$TOMCAT_HOME/webapps下的自带文件

回退方案

恢复删除的文件

确认方法

浏览器无页面展示

实施风险

中

适用说明

名称

禁用特定的HTTP头

说明

禁用X-Powered-By 的http头

实施目的

防止通过页面导致服务器版本泄露

问题影响

攻击者可以通过了解服务器版本进行有针对性的攻击

实施步骤

找到tomcat/conf/server.xml

在其中每个标签中添加xpoweredBy项，并设置为false

在每个标签中的server变量后面随意写入一串字符,避免为空

回退方案

恢复配置文件

确认方法

访问tomcat页面，查看http返回头

实施风险

中

适用说明

名称

禁用trace

说明

禁用trace,关闭服务器发送诊断和调试信息

实施目的

防止通过trace导致敏感信息导泄露

问题影响

攻击者可以通过了解服务器版本进行有针对性的攻击

实施步骤

找到tomcat/conf/server.xml

在其中每个标签中的allowTrace变量设置为false

回退方案

恢复配置文件

确认方法

查看配置文件

实施风险

低

适用说明

默认版本已关闭该功能

名称

用户自动登出

说明

非活动账户自动登出服务器

实施目的

防止非活动账户被攻击者恶意利用

问题影响

恶意攻击

实施步骤

找到tomcat/conf/server.xml

在其中每个标签中的connectionTimeout变量设置为3000

重启tomcat

回退方案

恢复配置文件

确认方法

非活动账户3000秒会自动登出

实施风险

低

适用说明

名称

服务降权

说明

不要使用root账户启动tomcat 使用普通账户启动,集群内统一账户及uid

实施目的

使用非root账户jqsoft启动tomcat

问题影响

恶意攻击

实施步骤

新建用户jqsoft 用户 uid gid 500

groupadd -g 500 jqsoft

useradd -g 500 -u 500 jqsoft

回退方案

删除jqsoft用户

确认方法

ps -ef |grep tomcat 查看tomcat进程是否是jqsoft用户启动

实施风险

中

适用说明

名称

隐藏tomcat版本信息

说明

隐藏tomcat版本信息,避免攻击者通过特定版本漏洞攻击

实施目的

隐藏tomcat版本信息

问题影响

恶意攻击

实施步骤

找到$TOMCAT_HOME/lib/catalina.jar文件,先进行备份,.然后通过jar xf解压该jar包，

修改org/apache/catalina/util/ServerInfo.properties 中的server.info/server.number/server.built的值

然后通过 jar uvf catalina.jar org/apache/catalina/util/ServerInfo.properties 压缩回去

重启tomcat

回退方案

还原备份的jar包

确认方法

查看版本信息为修改后的版本

实施风险

中

适用说明

名称

关闭war包自动部署

说明

默认 Tomcat 是开启了对war包的热部署的。为了防止被植入木马等恶意程序，因此我们要关闭自动部署

实施目的

关闭war包自动部署

问题影响

恶意攻击

实施步骤

修改tomcat/conf/server.xml 如下

<Host name="localhost"

appBase=""

 unpackWARs="false"

autoDeploy="false">

将unpackWARs autoDeploy 配置为flase后,重启tomcat

回退方案

还原配置文件

确认方法

上传war包不自动部署

实施风险

中

适用说明