資源描述：
《windows2003下apache實現(xiàn)ssl》由會員上傳分享，免費在線閱讀，更多相關內(nèi)容在行業(yè)資料-天天文庫。
1、網(wǎng)絡安全實踐報告一、實驗目的:打造安全的WEB服務器。二、實驗內(nèi)容：在服務器上安裝WEB服務器（可以是WINDOWS2003下使用APACHE），并實現(xiàn)基本的安全配置。除此之外，還要求WEB服務器支持SSL通信。三、實驗平臺：安裝了Server2003的虛擬機，WEB服務器Apache2.2；四、實驗步驟：綜述I：Windows2003+Apache主要為2個方面：基于2003的安全采用，用戶密碼策略，登陸策略，權限；至于Apache方面，主要有以下幾個方面:ServerRoot目錄的權限??,CGI腳本(httpd.conf)的安全考慮,?ApacheServ
2、er基于主機的訪問控制等。以下將對這兩方面分別進行設置。1,Apache方面1),默認情況下，很多Apache安裝時會顯示版本號及操作系統(tǒng)版本，甚至會顯示服務器上安裝的是什么樣的Apache模塊。這些信息可以為黑客所用，并且黑客還可以從中得知你所配置的服務器上的很多設置都是默認狀態(tài)。修改配置httpd.conf文件，添加如下語句：ServerSignatureOffServerTokensProd(注：此屬性Apache2.0版本可以配置，2.2以上版本就沒有了)2）Apache的默認設置只能保障一定程度的安全，如果服務器能夠通過正常的映射規(guī)則找到文件,那么客戶
3、端便會獲取該文件。安裝Apache后允許訪問Apache默認自帶的站點htdocs、icons、manual和cgi-bin，這些站點允許目錄訪問，這樣可能會導致信息泄露。解決辦法是加固Apache默認配置，取消Apache默認站點和目錄訪問。其實加固主要是修改Apache的默認配置文件，將上述配置文件中的標簽內(nèi)的OptionsIndexesMultiViewsAllowOverrideNoneOrderallow,denyAllowfromall選項改為OptionsMultiViewsAllowOverrideN
4、oneOrderdeny,allowDenyfromall以上配置將將禁止對文件系統(tǒng)的缺省訪問。（注：以上為Appache2.0的訪問特性，在Apache2.2版本中，規(guī)定Options命令后只能跟屬性None或All,再或者是跟Index與FollowSymLinks，SymLinksifOwnerMatch,ExecCGI,MultiViews屬性之一的組合。其中，原來的OptionsMultiViews只能寫成OptionsAll）3）SSI的配置。Apache2配置文件access.conf或httpd.conf中的確Options指令處加入Includ
5、esNOEXEC選項，用以禁用ApacheServer中的執(zhí)行功能。避免用戶直接執(zhí)行Apache服務器中的執(zhí)行程序，而造成服務器系統(tǒng)的公開化?！ptionsIncludesNoexec(注：Option命令同上，在Apache2.2版本以后，options命令后不再有IncludesNoexec屬性)4）ApacheServer基于主機的訪問控制。ApacheServer默認情況下的安全配置是拒絕一切訪問。假定ApacheServer內(nèi)容存放在/usr/local/apache/share目錄下，下面的指令將實現(xiàn)這種設置： Denyfromall 則禁止在
6、任一目錄下改變認證和訪問控制方法?！ ⊥瑯樱梢杂锰赜械拿頓eny、Allow指定某些用戶可以訪問，哪些用戶不能訪問，提供一定的靈活性。當Deny、Allow一起用時，用命令Order決定Deny和Allow合用的順序。OrderAllow,Deny Allowfromall Denyfromwww.***.com以上配置實現(xiàn)讓所有的人訪問Apache服務器，但不希望來自http://www.***.com/的任何訪問。2，基于Server2003的安全策略Apache首次安裝為服務后，會以本地系統(tǒng)賬號System運行。因為System的安全權限，會具對此
7、WEB服務器有很大的威脅（本地系統(tǒng)賬號是一個很有特權的本地賬號，因此你不應該用它運行任何共享軟件應用程序。但是，它沒有網(wǎng)絡權限，不能通過任何NT安全機制離開本地機器，包括文件系統(tǒng)、命名管道、DCOM或secureRPC。永遠不要把網(wǎng)絡權限授予SYSTEM賬號?。?。所以最好的辦法是創(chuàng)建一個新的用戶帳號來代替它，給這個用戶授予合適的權限來啟動Apache：1）在計算機管理里的本地用戶和組里面創(chuàng)建一個帳戶，例如：apache，密碼設置好，加入guests組（如果出現(xiàn)問題，可以賦予user權限）；2）打開開始->管理工具->本地安全策略，在用戶權限分配中選擇“作為服務登
8、陸”，添加apache；
