快速业务通道

构建安全的e-commerce服务器(4)

作者 佚名技术 来源 服务器技术 浏览 发布时间 2012-07-06

最后的文件检查: 1. SSL证书和公钥不能存放在DocumentRoot下; 2. SSL 证书和公钥必须被root所拥有,chmod 400 *.crt; 3. 移去/htdocs和/CGI-bin中的所有示例文件; 4. /htdocs下的所有文件被nobody所拥有。 如果你不怕配置麻烦,最好把Apache放到一个chroot的环境中运行。:)   关于如何生成证书请求包和到CA中心去签署,请参考其他文章。目前国内也有很多CA中心,如中国电信电子商务安全认证中心(http://www.sinocol.com/),都可以对个人颁发证书。 ?五.Hardening e-commerce Server   尽管Apache安装和配置的都很安全,但是一台具有薄弱口令或者运行着象wu-ftpd那样不安全服务的Linux还是很容易被攻破。一般来讲,一台WEB服务器仅仅需要的其他服务只有SSH—远程管理所用。不要安装x-windows,编译器如gcc等应该在系统稳定运行后删去,这样可以避免一些script-kiddiez的破坏。   同时,一些包过滤规则(ipfw,ipchains,iptables)应该被应用。这里我们将讨论Linux下的ipchains,假定有以下需求: ?1.? 服务器有两块网卡 2.? 外网卡仅仅允许80和443端口数据的incoming 3.? 外网卡仅仅允许>1023端口数据的outgoing 4.? 内网卡仅仅允许22、80、443端口的incoming 5.? 内网卡仅仅允许>1023端口数据的outgoing。一般的连接是数据库,Oracle是1524port,sql server是1443,SSH可以加上-P选项来指定大于1023的用户端口。 6.? 内网卡允许ICMP响应 ?命令如下(eth0外网卡,eth1内网卡): ipchains -A in-eth0 -p tcp --dport 80 -j ACCEPT ipchains -A in-eth0 -p tcp --dport 443 -j ACCEPT ipchains -A in-eth0 -p udp --dport 53 -j ACCEPT ipchains -A in-eth0 -j DENY ipchains -A out-eth0 -p tcp --dport 1024:65535 -j ACCEPT ipchains -A out-eth0 -p udp --dport 53 -j ACCEPT ipchains -A out-eth0 -j DENY ipchains -A in-eth1 -p tcp --dport 22 -j ACCEPT ipchains -A in-eth1 -p tcp --dport 80 -j ACCEPT ipchains -A in-eth1 -p tcp --dport 443 -j ACCEPT ipchains -A in-eth1 -p udp --dport 53 -j ACCEPT ipchains -A in-eth1 -p icmp -j ACCEPT ipchains -A in-eth1 -j DENY ipchains -A out-eth1 -p tcp --dport 22 -j ACCEPT ipchains -A out-eth1 -p tcp --dport 1024:65535 -j ACCEPT ipchains -A out-eth1 -p udp --dport 53 -j ACCEPT ipchains -A out-eth1 -p icmp -j ACCEPT ipchains -A out-eth1 -j DENY 剩下的工作就是重新编译系统内核,禁用不需要的模块,可以使某些rootkits失效。 最后,检查WEB SERVER上运行着的程序的安全性,有没有缓冲区溢出等安全问题。 六.参考资料 Improving Apache, by GARY BAHADUR & MIKE SHEMA SSL: Theory and Practice, Zeus TechnologyLASG, i.e. Linux Administrators Security Guide 关键词:

凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务,公司网站:http://www.lingzhong.cn 为了给广大客户了解更多的技术信息,本技术文章收集来源于网络,凌众科技尊重文章作者的版权,如果有涉及你的版权有必要删除你的文章,请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息,谢谢!

分享到: 更多

Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved

地址(ADD):厦门软件园二期望海路63号701E(东南融通旁) 邮编(ZIP):361008

电话:0592-5908028 传真:0592-5908039 咨询信箱:web@lingzhong.cn 咨询OICQ:173723134

《中华人民共和国增值电信业务经营许可证》闽B2-20100024  ICP备案:闽ICP备05037997号