CentOS中Tomcat的安全设置指南

在CentOS系统中配置Tomcat以提高安全性，可以遵循以下步骤：

初始化配置

• 删除默认目录：首次安装完成后，删除 /srv/apache-tomcat/webapps 下的所有内容，以防止恶意代码的部署。

  rm -rf /srv/apache-tomcat/webapps/* 

• 注释或删除 tomcat-users.xml：注释或删除所有用户权限，以减少潜在的安全风险。

  # cat conf/tomcat-users.xml # <?xml version='1.0' encoding='utf-8'?> # <tomcat-users></tomcat-users> 

• 隐藏Tomcat版本信息：修改 server.xml 文件，添加 server 属性以隐藏Tomcat版本信息。

  vim $CATALINA_HOME/conf/server.xml # 在Connector节点添加server属性 <Connector port="8080" protocol="HTTP/1.1" ... server="MyAppServer/1.0"/> 

用户与端口管理

• 使用非root用户启动Tomcat：创建一个新用户并赋予其Tomcat目录的权限，以避免使用root用户启动Tomcat。

  useradd -p password myuser chown -R myuser:myuser /usr/java/tomcat7/* 

• 配置防火墙：允许特定端口（如8080）的访问，并禁止其他端口的访问。

  sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent sudo firewall-cmd --reload 

应用程序安全

• 关闭自动部署：在 server.xml 中设置 unpackWARs="false" 和 autoDeploy="false"，以防止自动部署恶意WAR文件。

  <Host name="localhost" appBase="webapps" unpackWARs="false" autoDeploy="false"> 

• 修改JSESSIONID：将JSESSIONID改为PHPSESSID，以减少会话劫持的风险。

  <Context sessionCookiePath="/myapp" sessionCookieHttpOnly="true" sessionCookieSecure="true"/> 

• 删除不必要的目录：删除 webapps 目录下的 docs、examples、host-manager、manager、ROOT 等目录，以减少潜在的攻击面。

  rm -rf /srv/apache-tomcat/webapps/docs /srv/apache-tomcat/webapps/examples /srv/apache-tomcat/webapps/host-manager /srv/apache-tomcat/webapps/manager /srv/apache-tomcat/webapps/ROOT 

配置HTTPS

• 获取SSL证书：从可信的证书颁发机构获取SSL证书。
• 配置Tomcat使用HTTPS：修改 server.xml 文件，添加SSL连接器。

  <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol" maxThreads="150" SSLEnabled="true" scheme="https" secure="true" clientAuth="false" sslProtocol="TLS" keystoreFile="/path/to/your/keystore" keystorePass="yourKeystorePassword"/> 

系统Banner

• 禁止Tomcat在ResponseHeader返回server信息：修改 server.xml 文件，添加 server 属性。

  <Connector port="8080" protocol="HTTP/1.1" ... server="MyAppServer/1.0"/> 

其他安全措施

• 使用Systemd管理服务：创建并启用Tomcat的Systemd服务文件，以便更好地管理Tomcat服务。

  sudo systemctl daemon-reload sudo systemctl enable tomcat sudo systemctl start tomcat 

通过以上步骤，可以显著提高CentOS中Tomcat的安全配置。建议定期审查和更新安全设置，以应对新的安全威胁。