Стандартные разрешения установки Apache Security - PullRequest
Новая
       31

Стандартные разрешения установки Apache Security

1 голос
/ 30 сентября 2010

я недавно установил apache2 на мою машину с Ubuntu и у меня есть несколько вопросов о безопасности и правах пользователя.Я знаю, как прослушивать другие порты, скрывать индексы с помощью -Indexes и как создавать / отключать новые виртуальные хосты на той же машине, но в стандартной конфигурации установки уже есть множество пользовательских параметров, в которых я не уверен.

Может кто-нибудь объяснить, что именно этот файл позволяет пользователям делать в системе?Я потратил много времени на поиск справочных руководств и документов Apache, но это очень трогательно, так как мне действительно нужно сначала понять, что здесь происходит.пожалуйста, помогите.

cat / etc / apache2 / sites-available / default 

<VirtualHost *:80>
 ServerAdmin webmaster@localhost

 DocumentRoot /var/www
 <Directory />
  Options FollowSymLinks
  AllowOverride None
 </Directory>
 <Directory /var/www/>
  Options Indexes FollowSymLinks MultiViews
  AllowOverride None
  Order allow,deny
  allow from all
 </Directory>

 ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/
 <Directory "/usr/lib/cgi-bin">
  AllowOverride None
  Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch
  Order allow,deny
  Allow from all
 </Directory>

 ErrorLog /var/log/apache2/error.log

 # Possible values include: debug, info, notice, warn, error, crit,
 # alert, emerg.
 LogLevel warn

 CustomLog /var/log/apache2/access.log combined

    Alias /doc/ "/usr/share/doc/"
    <Directory "/usr/share/doc/">
        Options Indexes MultiViews FollowSymLinks
        AllowOverride None
        Order deny,allow
        Deny from all
        Allow from 127.0.0.0/255.0.0.0 ::1/128
    </Directory>

</VirtualHost>

1 Ответ

0 голосов
/ 30 сентября 2010

Если бы в Ubuntu были проблемы с безопасностью по умолчанию, то настройки Apache Canonical исправят.

Как говорится, есть способы улучшить вашу установку. Самое главное, вы должны подумать об установке mod_security . Что, если гораздо более разрушительный, чем Apache, это разоблачающая логика. PHP часто неправильно настроен, поэтому вы должны запустить PHPSecInfo и удалить как можно больше красного и желтого.

Любой сканер уязвимостей веб-приложений будет жаловаться на возможность просмотра списков каталогов, поэтому -Indexes. Необходимо на производственной системе.

Хранение файлов журналов в предсказуемом месте можно использовать для удаленного выполнения кода с использованием расширенной атаки LFI .

Вы также должны следовать принципу «доступа с наименьшими привилегиями». Если вам не нужен / cgi-bin, удалите его.

...