Apache安全加固配置教程(小白篇)

Ap ac he服务器它是Internet网上应用最为广泛的Web服务器软件之一。Ap ache服务器源自美国国家超级技术计算应用中心（NCSA）的 Web服务器项目中。目前已在互联网中占据了领导地位。Ap ache服务器得经过精心配置之后，才能使它适应高负荷，大吞吐量的互联网工作。快速、可靠、通过简单的API扩展，Perl/Python 解释器可被编译到服务器中，且完全免费，完全源代码开放。如果你需要创建一个每天有数百万人访问的Web服务器，Ap ache可能是最佳选择。

二，Ap ache服务器的主要安全缺陷

正如我们前言所说尽管Ap ache服务器应用最为广泛，设计上非常安全的程序。但是同其它应用程序一样，Ap ache也存在安全缺陷。毕竟它是完全源代码，Apache服务器的安全缺陷主要是使用HTTP协议进行的拒绝服务攻击(denial of service)、缓冲区溢出攻击以及被攻击者获得 root 权限三缺陷和最新的恶意的攻击者进行“拒绝服务”(DoS)攻击。合理的网络配置能够保护Apa che服务器免遭多种攻击。我们来介绍一下主要的安全缺陷：

（1）使用HTTP协议进行的拒绝服务攻击(denial of servi ce)的安全缺陷

这种方法攻击者会通过某些手段使服务器拒绝对HTTP应答。这样会使Apa che对系统资源(CPU时间和内存)需求的剧增，最终造成Apa che系统变慢甚至完全瘫痪。

  ServerTokens OS　 修改为：ServerTokens Prod （在出现错误页的时候不显示服务器操作系统的名称）
  ServerSignature On 修改为：ServerSignature Off（不回显apache版本信息）

  Options Indexes FollowSymLinks
  改为
  Options -Indexes FollowSymLinks

DirectoryIndex index.html

  User apache
  Group apache

<Directory "/var/www/html/aaa">
  <FilesMatch ".(php|php5)$">
  Deny from all
  </FilesMatch>
  </Directory>

<Directory "/var/www/html/aaa">
  Deny from all
  </Directory>

<Directory "/var/www/html/aaa">
  Order Deny,Allow
  Deny from all
  Allow from 192.168.1.111
  </Directory>

<Files ~ ".txt$">
  Order allow,deny
  Deny from all
  </Files>

Listen 12345

  AllowOverride All
  改为
  AllowOverride None

DirectoryIndex index.html index.php index.htm

ErrorDocument 400 /custom400.html
ErrorDocument 401 /custom401.html
ErrorDocument 403 /custom403.html
ErrorDocument 404 /custom404.html
ErrorDocument 405 /custom405.html
ErrorDocument 500 /custom500.html

  order deny,allow
  deny from all
  allow from 192.168.0.0/24

Options -Indexes

Timeout 10 
KeepAlive On
KeepAliveTimeout 15
AcceptFilter http data
AcceptFilter https data

在 /etc/httpd/conf/httpd.conf 配置文件中添加以下设置参数：
TraceEnable Off


修改 httpd.conf 配置文件，只允许 get、post 方法。
<Location />
<LimitExcept GET POST CONNECT OPTIONS>  Order Allow,Deny  Deny from all</LimitExcept>
</Location>

<Directory "/var/www/html/test">	
    Options All	
    AllowOverride None	
    Order Deny,Allow	
    Deny From 192.168.1.0/24 192.168.3.0/24	
    Deny From 192.168.56.1
</Directory>

TraceEnable off

<Directory "/var/www/html/web1">
Options -Includes -ExecCGI
</Directory>

<Directory "/var/www/myweb1/user_uploads">
   LimitRequestBody 512000
</Directory>

<VirtualHost *:80>
  DocumentRoot /var/www/html/example.com/
  ServerName www.example.com
  DirectoryIndex index.htm index.html index.php
  ServerAlias example.com
  ErrorDocument 404 /story.php
  ErrorLog /var/log/httpd/example.com_error_log
  CustomLog /var/log/httpd/example.com_access_log combined
</VirtualHost>