Tomcat安全加固

IT那活儿发布于2023-01-11 13:19 / 978人阅读

Tomcat安全加固

点击上方“IT那活儿”公众号，关注后了解更多内容，不管IT什么活儿，干就完了！！！

一

目的

通过建立知识库管理，积累、保存信息和知识资产，为团队内部信息和知识的传播提供平台，实现团队内知识共享，也使得企业知识得到很好的精炼和沉淀。

二

知识点描述

Tomcat在运行中，可能出现各种漏洞，下面从三个方面在Tomcat中间件上进行安全加固。

三

标准指导操作

Tomcat安全加固主要分为三个方面：禁用控制台、隐藏版本号和SSL认证。

3.1 禁用控制台

将Tomcat目录webapps下所有文件删除即可，删除后由于不存在应用，将无法访问页面。

3.2 隐藏版本号

方法一：

在Tomcat lib目录下创建路径org/apache/catalina/util并在该路径下创建自定义版本文件。

mkdir -p org/apache/catalina/util

vim ServerInfo.properties
# 在文件中输入自定义版本
server.info=Apache Tomcat

Bash

查看前台tomcat发现版本号已隐藏。

但此时在后台bin目录下运行version.sh脚本还是能查看到Tomcat版本，建议使用下列方式：

方法二：

修改catalina.jar中的版本信息，先解压jar包后修改文件org/apache/catalina/util/ServerInfo.properties中的版本信息。

jar包备份后将文件重新压缩到jar包中。

# 备份
cp catalina.jar catalina.jar20220713

# 打包
jar uvf catalina.jar org/apache/catalina/util/ServerInfo.properties

Bash

再次查看前台和使用version.sh脚本，tomcat版本信息都已隐藏。

3.3 SSL认证

生成keystore，可以使用java自带的keytool生成，按照提示一步步填相应的信息，除了密码之外的乱填都可以。

keystool -genkey -alias tomcat -keyalg RSA

Bash

生成的keystore在当前用户的~目录下，为一个.keystore的隐藏文件，将该文件移到指定目录下并重命名cp ~/.keystore /app/tomcat1/conf/tomcat.keystore

server.xml修改，修改前先备份；将server.xml中下列解除注释并配置：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
              maxThreads="150" SSLEnabled="true">
       <SSLHostConfig>
           <Certificate certificateKeystoreFile="/app/tomcat1/conf/tomcat.keystore" certificateKeystorePassword="passwd1" type="RSA" />
       SSLHostConfig>
   Connector>
   
       <Connector protocol="AJP/1.3"
              address="::1"
              port="8009"
              redirectPort="8443" />

Bash

测试https 8443端口访问，访问成功则配置成功。

本文作者：刘川陵(上海新炬王翦团队）

本文来源：“IT那活儿”公众号

服务器托管云服务器 tomcat安全加固安全加固系统安全加固关闭安全加固

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/129162.html

5大移动应用加固平台评测

摘要：梆梆安全梆梆的整体流程和其他的差不多，可以选择安全评估和应用加固是否同时进行。其中对速度影响最大的是梆梆安全。通过这次的评测，可以发现测试的应用采用通付盾的加固后，兼容性出现了大幅度下降只有。前言：由于安卓APP是基于Java的，所以极容易被破解，一个不经过加固的APP犹如裸奔一样，毫无防备。之前曾有新闻报道，一些专职的APP打包黑产就是专门从各种渠道找到apk，通过各种破解手段将a...

djfml 2019-06-21 16:28 评论0 收藏0
Android 应用防止被二次打包指南

摘要：接下来，我就来详解一下如何防止被二次打包。开发阶段移动应用开发时接入安全组件，保护数据安全。前言 Android APP二次打包则是盗版正规Android APP，破解后植入恶意代码重新打包。不管从性能、用户体验、外观它都跟正规APP一模一样但是背后它确悄悄运行着可怕的程序，它会在不知不觉中浪费手机电量、流量，恶意扣费、偷窥隐私等等行为。二次打包问题只是Android应用安全风险中...

PAMPANG 2019-08-16 13:47 评论0 收藏0
网易易盾最新一代Java2c加固究竟有什么厉害之处？

摘要：导语几个月前，网易易盾正式推出加固。易盾最新一代的加固方案，以独有的静态保护技术，使得应用程序中的代码出现下沉，达到不可逆的效果，兼顾冷热启动时间内存占用率体积等重要指标，同时保障用户加固的灵活性，可以免费试用。导语：几个月前，网易易盾正式推出Java2c加固。它以独有的静态保护技术，使得应用程序中的代码出现下沉，达到不可逆的效果，兼顾冷热启动时间、CPU、内存占用率、体积等重要指...

sf190404 2019-06-28 11:18 评论0 收藏0