讓Web服務走向門戶網站(2)_Windows教程

三、Apache服務器的安全配置

　　在前面的內容中提到過，Apache具有靈活的設置。所有Apache的安全特性都要經過周密的設計與規劃，進行認真地配置才能夠實現。Apache服務器的安全配置包括很多層面，有運行環境、認證與授權設置及建立安全的電子交易鏈接等。

　　1、Apache的安裝配置和運行

　　（1）以Nobody用戶運行一般情況下，Apache是由Root 來安裝和運行的。如果Apache Server進程具有Root用戶特權，那么它將給系統的安全構成很大的威脅，應確保Apache Server進程以最可能低的權限用戶來運行。通過修改httpd.conf文件中的下列選項，以Nobody用戶運行Apache 達到相對安全的目的。

　　User nobody
　　Group# -1

　　(2) ServerRoot目錄的權限

　　為了確保所有的配置是適當的和安全的，需要嚴格控制Apache 主目錄的訪問權限，使非超級用戶不能修改該目錄中的內容。Apache 的主目錄對應于Apache Server配置文件httpd.conf的Server Root控制項中，應為：

　　Server Root /usr/local/apache

　　（3）SSI的配置

　　在配置文件access.conf 或httpd.conf中的確Options指令處加入IncludesNOEXEC選項，用以禁用Apache Server 中的執行功能。避免用戶直接執行Apache 服務器中的執行程序，而造成服務器系統的公開化。

　　<Directory /home/*/public_html>
　　Options Includes Noexec
　　</Directory>

　　（4）阻止用戶修改系統設置

　　在Apache 服務器的配置文件中進行以下的設置，阻止用戶建立、修改 .htaccess文件，防止用戶超越能定義的系統安全特性。

　　<Directory />
　　AllowOveride None
　　Options None
　　Allow from all
　　</Directory>

　　然后再分別對特定的目錄進行適當的配置。

　　（5）Apache 服務器的確省訪問特性

　　Apache 的默認設置只能保障一定程度的安全，如果服務器能夠通過正常的映射規則找到文件，那么客戶端便會獲取該文件，如http://local host/~ root/ 將允許用戶訪問整個文件系統。在服務器文件中加入如下內容：

　　<Directory />
　　order deny,ellow
　　Deny from all
　　</Directory>

　　將禁止對文件系統的缺省訪問。

　　（6）CGI腳本的安全考慮

　　CGI腳本是一系列可以通過Web服務器來運行的程序。為了保證系統的安全性，應確保CGI的作者是可信的。對CGI而言，最好將其限制在一個特定的目錄下，如cgi-bin之下，便于管理；另外應該保證CGI目錄下的文件是不可寫的，避免一些欺騙性的程序駐留或混跡其中；如果能夠給用戶提供一個安全性良好的CGI程序的模塊作為參考，也許會減少許多不必要的麻煩和安全隱患；除去CGI目錄下的所有非業務應用的腳本，以防異常的信息泄漏。

　　以上這些常用的舉措可以給Apache Server 一個基本的安全運行環境，顯然在具體實施上還要做進一步的細化分解，制定出符合實際應用的安全配置方案。