Tomcat

本文集文档发布于灏天文库

7.4 Tomcat 安全问题

文档摘要

7.4 Tomcat 安全问题 第七章：Tomcat 常见问题与故障排除 7.4 Tomcat 安全问题 7.4.1 引言：Tomcat 安全的重要性 在当今互联网环境中，Web应用的安全至关重要。Tomcat 作为广泛使用的开源Servlet容器，承载着大量的Web应用，其安全性直接关系到应用乃至整个系统的稳定运行和数据安全。一旦 Tomcat 出现安全漏洞，攻击者可能利用这些漏洞进行恶意操作，例如： 数据泄露： 窃取敏感的用户数据、业务数据或系统配置信息。 服务中断： 发起拒绝服务攻击（DoS），导致Web应用无法正常访问。 权限提升： 获取服务器的控制权，进行更深层次的破坏。 恶意代码执行： 在服务器上执行任意代码，植入后门或恶意软件。

7.4 Tomcat 安全问题

第七章：Tomcat 常见问题与故障排除

7.4 Tomcat 安全问题

7.4.1 引言：Tomcat 安全的重要性

在当今互联网环境中，Web应用的安全至关重要。Tomcat 作为广泛使用的开源Servlet容器，承载着大量的Web应用，其安全性直接关系到应用乃至整个系统的稳定运行和数据安全。一旦 Tomcat 出现安全漏洞，攻击者可能利用这些漏洞进行恶意操作，例如：

  • 数据泄露： 窃取敏感的用户数据、业务数据或系统配置信息。

  • 服务中断： 发起拒绝服务攻击（DoS），导致Web应用无法正常访问。

  • 权限提升： 获取服务器的控制权，进行更深层次的破坏。

  • 恶意代码执行： 在服务器上执行任意代码，植入后门或恶意软件。

因此，对 Tomcat 进行全面的安全配置和加固是至关重要的。本章节将深入探讨 Tomcat 常见的安全问题，并提供相应的解决方案和最佳实践，帮助您构建安全可靠的 Tomcat 环境。

7.4.2 Tomcat 常见安全漏洞与风险

Tomcat 本身以及其部署的 Web 应用都可能存在安全漏洞。以下是一些 Tomcat 环境中常见的安全风险：

  • 默认配置的风险： Tomcat 的默认配置为了易用性，可能存在一些安全隐患。例如，默认端口、默认管理员账号、默认错误页面等都可能被攻击者利用。

  • 未修补的漏洞： Tomcat 作为一个软件，也会不断发现新的安全漏洞。如果未能及时更新 Tomcat 版本或应用安全补丁，就可能受到已知漏洞的攻击。

  • 弱口令和默认口令： 使用弱口令或默认口令（例如 Tomcat 管理员账号）是非常危险的，容易被暴力破解。

  • 不安全的 Web 应用： 即使 Tomcat 本身配置安全，如果部署的 Web 应用存在安全漏洞（例如 SQL 注入、跨站脚本攻击 XSS、跨站请求伪造 CSRF 等），仍然会受到攻击。

  • 未授权访问： Tomcat 管理界面、敏感资源或未受保护的 Web 应用接口如果允许未授权访问，将直接暴露安全风险。

  • 信息泄露： Tomcat 默认的错误页面、目录列表功能、服务器版本信息等都可能泄露敏感信息，帮助攻击者更好地了解系统结构和潜在漏洞。

  • 会话管理漏洞： 不安全的会话管理机制可能导致会话劫持、会话固定等攻击。

  • 拒绝服务（DoS）攻击： Tomcat 如果配置不当，可能容易受到各种 DoS 攻击，例如连接耗尽、请求洪水等。

  • 组件和依赖漏洞： Tomcat 使用的组件和依赖库（例如 Servlet API、JSP API、连接器库等）如果存在漏洞，也会影响 Tomcat 的安全。

为了更清晰地理解这些风险之间的关系，我们可以使用 Mermaid 图表进行可视化：

7.4.3 Tomcat 安全配置最佳实践

针对上述安全风险，我们需要采取一系列的安全配置措施来加固 Tomcat 环境。以下是一些关键的安全配置最佳实践：

7.4.3.1 移除默认应用和配置

Tomcat 默认包含一些示例应用（例如 examples、docs、manager、host-manager）和默认的欢迎页面。这些应用和页面在生产环境中通常是不需要的，并且可能成为攻击的入口。

实践步骤：

  1. 删除 webapps 目录下的默认应用文件夹： 进入 Tomcat 安装目录下的 webapps 目录，删除 examples、docs、manager、host-manager 等文件夹。

  2. 修改 server.xml 移除默认 Context 和 Host 配置： 编辑 conf/server.xml 文件，移除或注释掉默认的 <Context> 和 <Host> 配置，例如：

    <!-- 移除或注释掉默认的 Context 配置 -->
    <!-- <Context path="/examples" docBase="examples" crossContext="true" debug="0" reloadable="true"/> -->
    <!-- 移除或注释掉默认的 Host 配置 -->
    <!--
    <Host name="localhost"  appBase="webapps"
          unpackWARs="true" autoDeploy="true">
        <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
               prefix="localhost_access_log" suffix=".txt"
               pattern="%h %l %u %t &quot;%r&quot; %s %b" />
    </Host>
    -->
​

7.4.3.2 修改默认端口

Tomcat 默认使用 8080 端口提供 HTTP 服务，8005 端口用于关闭服务器，8009 端口用于 AJP 连接。使用默认端口会增加被攻击的风险，因为攻击者更容易扫描和识别 Tomcat 服务。

实践步骤：

  1. 修改 HTTP 连接器端口： 在 conf/server.xml 文件中，找到 HTTP 连接器 <Connector> 配置，修改 port 属性，例如改为 8888：
    <Connector port="8888" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" />
​
  1. 修改 Shutdown 连接器端口： 在 conf/server.xml 文件中，找到 Shutdown 连接器 <Server port="8005" shutdown="SHUTDOWN">，修改 port 属性，例如改为 8015：
    <Server port="8015" shutdown="SHUTDOWN">
​
  1. 修改 AJP 连接器端口（如果使用）： 如果使用了 AJP 连接器，在 conf/server.xml 文件中找到 AJP 连接器 <Connector port="8009" protocol="AJP/1.3" ...>，修改 port 属性，例如改为 8019：
    <Connector port="8019" protocol="AJP/1.3" redirectPort="8443" />
​

7.4.3.3 禁用不必要的连接器

如果不需要 AJP 连接器或者其他类型的连接器，应该将其禁用，以减少攻击面。

实践步骤：

  1. 注释或删除不需要的 <Connector> 配置： 在 conf/server.xml 文件中，注释或删除不需要的连接器配置。例如，如果不需要 AJP 连接器，可以注释掉：
    <!--
    <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" />
    -->
​

7.4.3.4 启用 HTTPS 并强制 HTTPS

HTTPS 使用 SSL/TLS 协议对通信进行加密，可以防止数据在传输过程中被窃听或篡改。对于涉及敏感数据的 Web 应用，必须启用 HTTPS。

实践步骤：

  1. 生成或获取 SSL/TLS 证书： 可以使用 keytool 工具生成自签名证书（用于测试环境），或者从权威的证书颁发机构（CA）购买证书（用于生产环境）。

  2. 配置 HTTPS 连接器： 在 conf/server.xml 文件中，配置 HTTPS 连接器 <Connector>，指定证书文件路径、密码等信息。例如：

    <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
               SSLEnabled="true"
               maxThreads="150" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS"
               keystoreFile="/path/to/your/keystore.jks"
               keystorePass="your_keystore_password"
               keystoreType="JKS"/>
​

  • port="8443": HTTPS 端口，通常使用 443 或 8443。

  • SSLEnabled="true": 启用 SSL/TLS。

  • keystoreFile: 密钥库文件路径，包含服务器证书和私钥。

  • keystorePass: 密钥库密码。

  • keystoreType: 密钥库类型，通常为 JKS 或 PKCS12。

  • clientAuth="false": 是否需要客户端证书认证，通常设置为 false。

  • sslProtocol="TLS": SSL/TLS 协议版本，推荐使用 TLS。

  1. 强制 HTTP 请求重定向到 HTTPS： 为了确保所有通信都使用 HTTPS，可以将 HTTP 请求重定向到 HTTPS。可以通过配置 redirectPort 属性在 HTTP 连接器中实现，或者使用 Tomcat 的 RewriteValve 或 Web 应用自身的重定向机制。

    • 使用 redirectPort (在 HTTP 连接器中配置):
        <Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" />  <!-- 将 HTTP 请求重定向到 8443 (HTTPS 端口) -->
​
    • 使用 RewriteValve (在 conf/server.xml 的 <Host> 标签内配置):
        <Host name="localhost"  appBase="webapps"
          unpackWARs="true" autoDeploy="true">
        <Valve className="org.apache.catalina.valves.RewriteValve" />
        </Host>
​

    并在 conf/Catalina/localhost/rewrite.config 文件中添加重写规则:

    RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
​

7.4.3.5 配置安全 Realm 和访问控制

Tomcat 使用 Realm 组件进行用户认证和授权。默认的 Realm 实现通常是将用户信息存储在 XML 文件中，不适合生产环境。应该配置更安全的 Realm，例如 JDBCRealm、JNDIRealm 或自定义 Realm，并结合 Web 应用的 web.xml 文件进行细粒度的访问控制。

实践步骤：

  1. 选择合适的 Realm 实现： 根据实际情况选择合适的 Realm 实现。

    • JDBCRealm: 将用户信息存储在关系型数据库中，适合用户数量较多且需要统一用户管理的情况。

    • JNDIRealm: 从 JNDI 目录服务（例如 LDAP）获取用户信息，适合企业级应用环境。

    • 自定义 Realm: 可以根据特定需求实现自定义的 Realm 组件。

  2. 配置 Realm 组件： 在 conf/server.xml 文件中的 <Engine> 或 <Host> 标签内配置 Realm 组件。

    • 配置 JDBCRealm 示例：
        <Realm className="org.apache.catalina.realm.JDBCRealm"
           driverName="com.mysql.cj.jdbc.Driver"
           connectionURL="jdbc:mysql://localhost:3306/tomcat_users?serverTimezone=UTC"
           connectionName="tomcat_user"
           connectionPassword="tomcat_password"
           userTable="users"
           userNameCol="username"
           userCredCol="password"
           userRoleTable="user_roles"
           roleNameCol="role_name"
           userRolesCol="username"
           digest="SHA-256"
           />
​
    • 配置 JNDIRealm 示例 (连接到 LDAP):
        <Realm className="org.apache.catalina.realm.JNDIRealm"
           contextFactory="com.sun.jndi.ldap.LdapCtxFactory"
           connectionURL="ldap://ldap.example.com:389"
           connectionName="cn=admin,dc=example,dc=com"
           connectionPassword="ldap_password"
           userBase="ou=People,dc=example,dc=com"
           userSearch="(uid={0})"
           roleBase="ou=Groups,dc=example,dc=com"
           roleSearch="(memberUid={0})"
           roleNameAttribute="cn"
           />
​

  3. 在 web.xml 中配置安全约束： 在 Web 应用的 WEB-INF/web.xml 文件中，使用 <security-constraint> 元素定义安全约束，指定需要认证的角色和受保护的资源。

    <security-constraint>
    <web-resource-collection>
        <web-resource-name>Admin Area</web-resource-name>
        <url-pattern>/admin/*</url-pattern> <!-- 保护 /admin 目录下的所有资源 -->
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>admin</role-name> <!-- 只有 admin 角色可以访问 -->
    </auth-constraint>
    <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee> <!-- 强制 HTTPS -->
    </user-data-constraint>
</security-constraint>
<login-config>
    <auth-method>BASIC</auth-method> <!-- 使用 HTTP Basic 认证 -->
    <realm-name>Tomcat Realm</realm-name>
</login-config>
<security-role>
    <role-name>admin</role-name>
</security-role>
​

    • <security-constraint>: 定义安全约束。

    • <web-resource-collection>: 定义受保护的资源集合。

    • <url-pattern>: URL 模式，指定需要保护的资源路径。

    • <auth-constraint>: 定义授权约束，指定允许访问的角色。

    • <role-name>: 角色名称，需要与 Realm 中配置的角色对应。

    • <user-data-constraint>: 定义用户数据约束。

    • <transport-guarantee>CONFIDENTIAL</transport-guarantee>: 强制要求使用保密传输（HTTPS）。

    • <login-config>: 配置登录方式。

    • <auth-method>BASIC</auth-method>: 使用 HTTP Basic 认证。还可以使用 FORM (表单认证)、DIGEST (摘要认证) 或 CLIENT-CERT (客户端证书认证)。

    • <realm-name>: Realm 名称，与 server.xml 中配置的 Realm 对应。

    • <security-role>: 定义安全角色。

7.4.3.6 配置 Valve 进行安全增强

Tomcat Valve 是一种请求处理组件，可以用于实现各种安全增强功能，例如：

  • Remote Address Valve: 限制允许访问的客户端 IP 地址或 IP 地址范围。

  • Request Filter Valve: 根据请求的 header 或其他信息进行过滤和拦截。

  • CSRF Prevention Valve: 防止跨站请求伪造（CSRF）攻击。

实践步骤：

  1. 配置 Remote Address Valve 限制 IP 访问： 在 conf/server.xml 的 <Host> 或 <Context> 标签内配置 RemoteAddrValve。

        <Valve className="org.apache.catalina.valves.RemoteAddrValve"
           allow="127\.0\.0\.1|192\.168\.1\.\d+"  <!-- 允许本地访问和 192.168.1.* 网段访问 -->
           deny=""/>  <!-- 默认拒绝所有其他 IP 地址 -->
​

    • allow: 允许访问的 IP 地址或 IP 地址范围，可以使用正则表达式。

    • deny: 拒绝访问的 IP 地址或 IP 地址范围，可以使用正则表达式。如果 allow 属性已配置，deny 通常为空，表示默认拒绝所有未在 allow 列表中的 IP 地址。

  2. 配置 CSRF Prevention Valve 防止 CSRF 攻击： 在 conf/server.xml 的 <Context> 标签内配置 CsrfPreventionValve。

        <Valve className="org.apache.catalina.valves.CsrfPreventionValve"
           randomClass="org.apache.catalina.util.SessionIdGeneratorBase$RandomBytesSessionIdGenerator"
           denyStatus="403"
           entryPoints="/login,/admin/login"/> <!-- 定义不需要 CSRF token 检查的入口点 -->
​

    • randomClass: 指定生成 CSRF token 的随机数生成器类。

    • denyStatus: 当 CSRF 检查失败时返回的 HTTP 状态码，默认为 403 (Forbidden)。

    • entryPoints: 定义不需要 CSRF token 检查的入口点 URL 列表，例如登录页面。

7.4.3.7 配置会话管理安全

会话管理安全对于保护用户身份和防止会话劫持至关重要。

实践步骤：

  1. 启用 HTTPS 会话 Cookie 安全属性： 确保会话 Cookie 的 secure 属性设置为 true，只允许在 HTTPS 连接中传输 Cookie。Tomcat 默认情况下，当使用 HTTPS 连接时，会自动设置 secure 属性。

  2. 启用会话 Cookie 的 HttpOnly 属性： 设置会话 Cookie 的 HttpOnly 属性为 true，防止客户端脚本（例如 JavaScript）访问 Cookie，减少 XSS 攻击的风险。可以通过在 context.xml 文件中配置 <Context> 元素的 sessionCookieHttpOnly 属性来实现：

    <Context sessionCookieHttpOnly="true">
    </Context>
​

  3. 设置合理的会话超时时间： 避免会话长时间保持活动状态，减少会话被劫持的风险。可以在 web.xml 文件中配置 <session-config> 元素的 <session-timeout> 子元素来设置会话超时时间（单位为分钟）。

    <session-config>
    <session-timeout>30</session-timeout> <!-- 设置会话超时时间为 30 分钟 -->
</session-config>
​

  4. 防止会话固定攻击： Tomcat 默认会生成新的会话 ID 当用户成功认证后，这有助于防止会话固定攻击。确保 Tomcat 配置正确，并避免在 Web 应用中手动操作会话 ID 导致会话固定漏洞。

7.4.3.8 禁用目录列表

禁用 Tomcat 的目录列表功能，防止攻击者通过访问目录 URL 获取服务器的文件结构信息。

实践步骤：

  1. 修改 web.xml 配置： 在 Tomcat 安装目录下的 conf/web.xml 文件中，找到 DefaultServlet 的配置，将 listings 初始化参数设置为 false。

    <servlet>
    <servlet-name>default</servlet-name>
    <servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class>
    <init-param>
        <param-name>debug</param-name>
        <param-value>0</param-value>
    </init-param>
    <init-param>
        <param-name>listings</param-name>
        <param-value>false</param-value>  <!-- 禁用目录列表 -->
    </init-param>
    <load-on-startup>1</load-on-startup>
</servlet>
​

7.4.3.9 隐藏服务器版本信息

隐藏 Tomcat 服务器的版本信息，防止攻击者根据已知的版本漏洞进行攻击。

实践步骤：

  1. 修改 server.xml 配置： 在 conf/server.xml 文件中，找到 <Connector> 配置，添加 server 属性并设置为空字符串。

    <Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="8443"
           server=""/>  <!-- 隐藏服务器版本信息 -->
​

  2. 修改 web.xml 配置： 在 Tomcat 安装目录下的 conf/web.xml 文件中，找到 DefaultServlet 的配置，将 sendServerInfo 初始化参数设置为 false。

    <servlet>
    <servlet-name>default</servlet-name>
    <servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class>
    ...
    <init-param>
        <param-name>sendServerInfo</param-name>
        <param-value>false</param-value> <!-- 禁用发送服务器信息 -->
    </init-param>
    ...
</servlet>
​

7.4.3.10 配置错误页面

自定义错误页面，避免泄露敏感的错误信息。

实践步骤：

  1. 在 web.xml 中配置 <error-page> 元素： 在 Web 应用的 WEB-INF/web.xml 文件中，配置 <error-page> 元素，指定错误码或异常类型以及对应的错误页面路径。

    <error-page>
    <error-code>404</error-code>
    <location>/error/404.jsp</location>
</error-page>
<error-page>
    <exception-type>java.lang.Exception</exception-type>
    <location>/error/exception.jsp</location>
</error-page>
​

    • <error-code>: HTTP 错误码，例如 404 (Not Found)、500 (Internal Server Error) 等。

    • <exception-type>: Java 异常类型，例如 java.lang.Exception。

    • <location>: 错误页面路径，可以是相对路径或绝对路径。

  2. 创建自定义错误页面： 在 Web 应用中创建自定义的错误页面 JSP 文件（例如 error/404.jsp、error/exception.jsp），并在页面中显示友好的错误信息，避免泄露服务器内部信息。

7.4.3.11 定期更新 Tomcat 版本和依赖

及时关注 Tomcat 官方的安全公告，并及时更新 Tomcat 版本或应用安全补丁，修复已知的安全漏洞。同时，也要定期检查 Web 应用的依赖库，更新到安全版本。

实践步骤：

  1. 关注 Tomcat 安全公告： 订阅 Tomcat 官方邮件列表或关注 Apache Tomcat 项目的安全公告页面，及时了解最新的安全漏洞信息。

  2. 定期更新 Tomcat 版本： 在测试环境中充分测试后，将生产环境的 Tomcat 更新到最新的稳定版本。

  3. 应用安全补丁： 如果无法立即升级 Tomcat 版本，应及时应用官方发布的安全补丁。

  4. 依赖库安全检查和更新： 使用依赖管理工具（例如 Maven、Gradle）定期检查 Web 应用的依赖库是否存在安全漏洞，并更新到安全版本。可以使用工具如 OWASP Dependency-Check 进行依赖漏洞扫描。

7.4.4 Tomcat 运行环境安全加固

除了 Tomcat 自身的安全配置外，Tomcat 运行环境的安全加固也至关重要。

  • 使用非 root 用户运行 Tomcat： 避免使用 root 用户运行 Tomcat，以降低权限提升攻击的风险。创建一个专门用于运行 Tomcat 的用户，并设置适当的文件系统权限。

  • 文件系统权限控制： 限制 Tomcat 安装目录、日志目录、Web 应用部署目录等的文件系统权限，只允许 Tomcat 运行用户和管理员用户访问。

  • 操作系统安全加固： 对 Tomcat 运行的操作系统进行安全加固，例如禁用不必要的服务、配置防火墙、安装安全补丁等。

  • 网络安全隔离： 将 Tomcat 服务器部署在隔离的网络环境中，例如 DMZ 区，并配置防火墙限制网络访问。

  • Web 应用防火墙 (WAF)： 考虑在 Tomcat 前端部署 Web 应用防火墙（WAF），用于检测和防御 Web 应用攻击，例如 SQL 注入、XSS、CSRF 等。

7.4.5 安全监控与日志审计

建立完善的安全监控和日志审计机制，及时发现和响应安全事件。

  • 启用访问日志： 配置 Tomcat 的 AccessLogValve，记录详细的访问日志，包括客户端 IP 地址、请求 URL、HTTP 状态码、用户身份等信息。

  • 配置错误日志： 配置 Tomcat 的错误日志，记录 Tomcat 运行时的错误信息，帮助排查故障和安全问题。

  • 安全审计日志： 记录 Tomcat 的安全相关事件，例如用户认证失败、权限拒绝等。可以使用 Tomcat 的自定义 Valve 或集成第三方安全审计工具来实现。

  • 日志集中管理和分析： 将 Tomcat 的日志集中收集到日志管理平台，进行统一分析和监控，可以使用 ELK Stack (Elasticsearch, Logstash, Kibana)、Splunk 等工具。

  • 安全监控告警： 配置安全监控告警规则，当检测到异常行为或安全事件时，及时发出告警通知。

7.4.6 总结

Tomcat 安全是一个持续的过程，需要综合考虑 Tomcat 配置、Web 应用安全、运行环境安全以及安全监控等多个方面。通过本章节介绍的安全配置最佳实践，可以有效提升 Tomcat 环境的安全性，降低安全风险。

关键安全配置总结 Mermaid 图表：

请注意，以上代码示例和配置说明仅供参考，实际配置时需要根据您的具体环境和安全需求进行调整。 建议参考 Tomcat 官方文档和安全指南，并进行充分的测试和验证。

发布者: 作者: 转发
评论区 (0)
U
0/500