如何预防后台被攻击？Tomcat 的安全配置来啦！ _Tomcat

文章插图
作者 | 苗超
责编 | Elle
安全是系统架构中最重要的关注点之一，通常情况下，所说的安全涵盖网络安全、数据安全、操作系统安全、服务器安全以及应用系统安全等诸多方面。Tomcat 是一个免费的开放源代码的Web应用服务器，技术先进、性能稳定。由于它优秀的稳定性以及丰富的文档资料，广泛的使用人群，从而在开源领域受到广泛的青睐，因此，Tomcat安全也越来越受到重视。
Tomcat作为一款应用服务器，默认情况下可以满足多数场景的安全需求，但是在安全要求较高的情况下，仍需要从多个方面进行配置，已防止Tomcat管理后台被攻击等风险。Tomcat安全主要从以下2个方面介绍。
配置安全
默认情况下其存在一定的安全隐患，可被恶意攻击，所以在生产环境中需要对Tomcat进行安全配置，下面将介绍影响Tomcat配置安全的4个选项。
1. 移除不使用的内置应用
Tomcat环境部署完毕后，要删除根目录下的一些默认文件夹：CATALINA_HOME/webApps文件夹下的内置应用，这些应用可能会导致安全风险，因此移除不使用的应用。对于docs（Tomcat本地说明文档）、examples（Tomcat相关的demo示例）、ROOT（Tomcat默认页），可以将其直接移除。host-manager和manager用于管理及监控tomcat容器，如果已经使用第三方工具来管理tomcat，不需要manager管理登录，这两个应用也可以直接移除，如图2所示。

文章插图
图 2.Tomcat内置应用
2. 降权启动tomcat
tomcat 启动用户权限必须为非root，避免一旦tomcat服务被入侵，获取root权限，因为在linux操作系统中，root用户的权限是最高的，可以执行普通用户无法执行的操作。应单独为Tomcat服务器创建一个用户，并且授予运行应用服务器所需的最小系统权限。
3. 删除不使用的组件
Tomcat是开源软件，那么server.xml中的默认配置对所有人都是可见的，它的运行机制也是众所周知的，因此使用默认配置也会增加服务器受攻击的风险。所以在部署生产环境前，移除不必要的组件，默认情况下，server.xml配置了一个HTTP连接器（8080）和一个AJP连接器（8009），实际上绝大多数情况下，只需要一个连接器。如果Tomcat不存在前置的web服务器，此时可以保留HTTP而删除AJP连接器。
4. 禁用自动部署
在默认情况下，Tomcat是自动部署的，只要是在webapps目录下的war包均会在Tomcat启动时自动部署，包括被植入的恶意web应用。要避免恶意的web应用自动启动，可以考虑从两个方面解决：一是修改web应用部署目录为其他路径，这样攻击者很难找到正确的部署目录并部署web应用；二是禁用自动部署，将server.xml配置文件中Host元素的autoDeploy和deployOnStartup属性设置为false，此时只有通过context标签部署web应用，配置方法如图3所示。

文章插图
图 3.禁用自动部署
管理平台安全
1. 管理平台是什么？
Tomcat提供了基于Web方式的管理平台，管理平台即是内置的两个独立的web应用，位于webapps目录下的host-manager和manager 。host-manager管理控制台可以动态地添加一个虚拟主机。此外还可以启动、停止、删除虚拟主机，在实际生产中很少使用host-manager管理平台。manager管理平台可以很方便的管理运行在tomcat服务器上的Web应用，如发布、启动、停止或删除Web应用，还可以实时管理HTTP会话以及查看服务器状态信息等。
2. 管理平台如何使用
在tomcat启动成功后，通过http://ip:port/manager/html访问manager 管理平台，因为默认添加了访问权限控制，第一次访问需要在 conf/ tomcat-users.xml 文件中为当前用户添加角色，manager管理平台共有4种角色，分别为：
• manager-gui：允许访问html页面接口(即URL路径为/manager/html/*)；
【如何预防后台被攻击？Tomcat 的安全配置来啦！】• manager-：允许访问纯文本接口(即URL路径为/manager/text/*)；
• manager-jmx：允许访问JMX代理接口(即URL路径为/manager/jmxproxy/*)；
• manager-status：允许访问Tomcat只读状态页面(即URL路径为/manager/status/*) 。
其中manager-gui、manager-、manager-jmx三个角色均具备manager-status角色的权限，即这三种角色权限无需再额外添加manager-status权限。实际使用中只需配置manager-gui角色通过html页面的形式访问管理平台。