Apache服务的安全配置

估计X-Scan的测试，显示如下漏洞信息

1未知CGI参数考验

这个脚本通过送一些常见的导致CGI程序错误的参数，如(../../etc/passwd)
来'考验'远程CGI的参数。

*** 这个脚本绝对不可能像人做这类事情的那样好

风险等级 : 从无到高

2开放服务

"WEB"服务运行于该端口
BANNER信息 :

HTTP/1.1 200 OK
Date: Thu, 20 Apr 2006 02:02:56 GMT
Server: Apache/2.2.0 (Unix) PHP/5.1.1
X-Powered-By: PHP/5.1.1
Expires: 0
Cache-Control: private, post-check=0, pre-check=0, max-age=0
Pragma: no-cache
Set-Cookie: cdb_luntansid=XOLAK2
expires=Thu, 27-Apr-2006 02:02:56 GMT
path=/
Connection: close
Content-Type: text/html

3http TRACE 跨站攻击

你的webserver支持TRACE 和/或 TRACK 方式。 TRACE和TRACK是用来调试web服务器连接的HTTP方式。

支持该方式的服务器存在跨站脚本漏洞，通常在描述各种浏览器缺陷的时候，把"Cross-Site-Tracing"简称

为XST。

攻击者可以利用此漏洞欺骗合法用户并得到他们的私人信息。

解决方案: 禁用这些方式。

4目录扫描器

该插件试图确认远程主机上存在的各普通目录

5Web 映射

此脚本将映射远程web站点并提取一份远程主机所用的CGI列表.

建议你给此插件设置一个较高的超时值.
所要映射的页面需在客户端的'选项'中修改.

风险等级:无

6HTTP 服务器类型及版本

发现 HTTP 服务器的类型及版本号.

解决方案: 配置服务器经常更改名称,如:'Wintendo httpD w/Dotmatrix display'
确保移除类似 apache_pb.gif 带有 Apache 的通用标志, 可以设定 'ServerTokens Prod' 为受限
该信息来源于服务器本身的响应首部.

风险等级 : 低

7网络服务器存在robot(s).txt攻击


Some Web Servers use a file called /robot(s).txt to make search engines and
any other indexing tools visit their WebPages more frequently and
more efficiently.

By connecting to the server and requesting the /robot(s).txt file, an
attacker may gain additional information about the system they are
attacking.

Such information as, restricted directories, hidden directories, cgi script
directories and etc. Take special care not to tell the robots not to index
sensitive directories, since this tells attackers exactly which of your
directories are sensitive.

The file 'robots.txt' contains the following:
#
# robots.txt for Discuz! Board
# Version 4.0.0
#

User-agent: *

Disallow: /admin/
Disallow: /attachments/
Disallow: /customavatars/
Disallow: /images/
Disallow: /forumdata/
Disallow: /include/
Disallow: /ipdata/
Disallow: /templates/
Disallow: /plugins/

这么多，我一个一个来解决它们，都是修改/usr/loacl/apache2/conf/httpd.conf

第一个比较好解决，在httpd.conf中找到下面的内容，并在行首打上＃号
#ScriptAlias /cgi-bin/ "/usr/local/apache/cgi-bin/"

ServerSignature Off
如果打开的话，会显示一些系统的信息如

S-Xcan会显示如何修改httpd.conf文件的
把以下代码加入到httpd.conf中
RewriteEngine on
RewriteCond %{REQUEST_METHOD} ^(TRACE|TRACK)
RewriteRule .* - [F]
然后重新启动httpd，发现启动出现如下错误。
Syntax error on line 426 of /usr/local/apache2/conf/httpd.conf:
Invalid command 'RewriteEngine', perhaps misspelled or defined by a module not included in the

server configuration
通过这个错误信息发现自己没有在安装Apache的时候加载这个mod_rewrite。该不会重新安装Apache吧，在网
上找了段时间发现了解决办法
首先要在Apache安装的原目录下找到mod_rewrite.c这个文件
我的在-rw-r--r--  1 1000 1000 150721 Nov 10 23:20 /tmp/httpd-

2.2.0/modules/mappers/mod_rewrite.c
然后进入到该文件所在的目录 cd /tmp/httpd-2.2.0/modules/mappers/
要用到apxs 不过在使用的时候要指定绝对路径
/usr/local/apache2/bin/apxs -c mod_rewrite.c
/usr/local/apache2/bin/apxs -i -a -n mod_rewrite mod_rewrite.la
如果命令正确的话
在/usr/local/apache2/modules/目录下会出现mod_rewrite.so
要确保加载mod_rewrite.so文件，在httpd.conf中加上以下语句
LoadModule rewrite_module modules/mod_rewrite.so


把配置文件中所有的带有Indexes的都去掉
Indexes是用于目录浏览的。

在/usr/local/apahce2/htdocs目录中删除所有的gif,png文件

完成以上的操作，在重新启动httpd服务。再次用X-Scan扫描
继续出现如下错误
1 未知CGI参数考验

这个脚本通过送一些常见的导致CGI程序错误的参数，如(../../etc/passwd)
来'考验'远程CGI的参数。

*** 这个脚本绝对不可能像人做这类事情的那样好

风险等级 : 从无到高

2 开放服务

"WEB"服务运行于该端口
BANNER信息 :

HTTP/1.1 200 OK
Date: Wed, 26 Apr 2006 06:03:45 GMT
Server: Apache
X-Powered-By: PHP/5.1.1
Expires: 0
Cache-Control: private, post-check=0, pre-check=0, max-age=0
Pragma: no-cache
Set-Cookie: cdb_luntansid=WRqthz
expires=Wed, 03-May-2006 06:03:45 GMT
path=/
Connection: close
Content-Type: text/html

3 目录扫描器

该插件试图确认远程主机上存在的各普通目录

4 Web 映射

此脚本将映射远程web站点并提取一份远程主机所用的CGI列表.

建议你给此插件设置一个较高的超时值.
所要映射的页面需在客户端的'选项'中修改.

风险等级:无
__________________
5 Web 映射

此脚本将映射远程web站点并提取一份远程主机所用的CGI列表.

建议你给此插件设置一个较高的超时值.
所要映射的页面需在客户端的'选项'中修改.

风险等级:无
__________________
6 网络服务器存在robot(s).txt攻击


Some Web Servers use a file called /robot(s).txt to make search engines and
any other indexing tools visit their WebPages more frequently and
more efficiently.

By connecting to the server and requesting the /robot(s).txt file, an
attacker may gain additional information about the system they are
attacking.

Such information as, restricted directories, hidden directories, cgi script
directories and etc. Take special care not to tell the robots not to index
sensitive directories, since this tells attackers exactly which of your
directories are sensitive.

我也不知道该怎么办，希望有高手能给我一个答案
不过Apache服务由于在很多地方被广泛的应用，其本身应该不会有什么大的漏洞的。就这样吧。

reference
http://www.ykzj.org/article.php?articleid=1913
http://www.gbunix.com/htmldata/2004_08/14/22/article_515_1.html