网站常见漏洞及解决办法.doc

文档介绍：1
问题
远端
解
决
办
法
①开启Apache 的mod_rewrite功能:
#LoadModule rewrite_module
modules/#去掉

<Directory />Options FollowSymLinks AllowOverride None </Directory>
将AllowOverride None 改成 AllowOverride ALL
这样Apache的mod_rewrite就开启了。
②
RewriteEngine on
RewriteCond %{REQUEST_METHOD} ^(TRACE|TRACK)
RewriteRule .* - [F] 禁用URL,返回403HTTP状态码
mod_rewrite模块提供了一个基于规则的(使用正则表达式分析器的)实时转向URL请求的引擎。支持每个规则可以拥有不限数量的规则以及附加条件规则的灵活而且强大的URL操作机制。此URL操作可以取决于各种测试,比如服务器变量、环境变量、HTTP头、时间标记,甚至各种格式的用于匹配URL组成部分的查找数据库。
RewriteEngine On
RewriteCond %{HTTP_HOST} ^xxx\.com$ [NC]
RewriteRule ^/(.*)$ /$1 [R=301,L]
对于unix,Red Hat Linux运行的Apache是编译好的程序,提示信息被编译在程序里,
要隐藏这些信息需要修改Apache的源代码,然后,重新编译安装程序,以替换里面
的提示内容。
2
问题
远端HTTP服务器类型和版本信息泄漏
解
决
办
法
㈠apache版本信息泄漏解决方法:

ServerTokens Prod[uctOnly](等级[Prod,Major, Minor, Min, OS])
ServerSignature Off
重启 apache 现在 http 头里面只看到: Server: Apache[/2, /, /, / (Unix)]
㈡服务器类型泄漏解决办法:
Tomcat:
①方法一:
Tomcat4\5:tomcat_home \server\lib\
org\apache\catalina\util\
Tomcat6:tomcat_home \lib\
org\apache\catalina\util\
操作: 解压并修改再拖入即可。
②方法二:使用WEB容器捕获异常进行处理
:
<error-page>
<exception-type></exception-type><location>/</location>
</error-page>
<error-page>
<error-code>404</error-code><location>/</location>
</error-page>
<error-page>
<error-code>400</error-code><location>/</location>
</error-page><error-page><error-code>500</error-code><location>/</location>
</error-page>
3
问题
Apache MPM 远程拒绝服务漏洞。
Apache 2的worker模块在处理中止的TCP连接时存在内存泄漏,远程攻击者可以反复触发这种情况耗尽所有可用的内存,最终导致拒绝服务。
。
PCRE在处理字符类时存在缓冲区溢出漏洞,如果用户发送了codepoint大于255的超长UTF-8字符类的话,就可能触发这个溢出,导致执行任意指令。
Apache mod_ima