今天申请的verisign证书下来了,给一台服务器重新安装了apache,其中一些安全设置记录一下,已方便以后查询
1,禁用sslv2,由于sslv2有安全隐患,所以最好禁止使用,firefox是直接把sslv2去掉了的
以下为apache禁用sslv2的方法:
SSLProtocol -ALL +SSLv3 +TLSv1
SSLCipherSuite ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUM
测试是否已经关闭的方法:
#openssl s_client -ssl2 -connect virtualhost:443 #openssl s_client -ssl3 -connect virtualhost:443 #openssl s_client -tls1 -connect virtualhost:443
其中第一行应该不能成功建立连接了,就代表sslv2已经被禁用。
具体的说明可以参考这里:http://www.linux4beginners.info/node/disable-sslv2
2,更改Server Header,http里面的Server头表示你访问的服务器的版本信息,一般我们最好隐藏起一些必要的信息,使用以下设置:
ServerTokens Prod
ServerSignature Off
这样设置以后,Server头只会显示 Apache,如果这样你还是不满意,就只能更改源代码了(因为使用mod_headers 也不能修改了)
修改 ./include/ap_release.h
#define AP_SERVER_BASEPRODUCT “Apache”
改成你想要的东东即可,然后重新编译发布。
当然,如果你想改点其他Header,用mod_headers 设置即可,比如
Header add X-Powered-By “ASP.NET”
详细配置文档地址:for 2.2 http://httpd.apache.org/docs/2.2/mod/mod_headers.html
3,Apache官方于2011年8月24日公布漏洞:Range header DoS vulnerability Apache HTTPD 1.3/2.x \(CVE-2011-3192\)
说明:该漏洞可轻易被攻击工具占用大量内存和CPU,导致无法处理正常请求。
影响版本:Apache 1.3 all versions, Apache 2 all versions
临时解决方案:
RequestHeader unset Range
去掉Range请求,呵呵,一般不是下载站点的话,不需要断点续传的了。
漏洞地址:http://people.apache.org/~dirkx/CVE-2011-3192.txt
Leave a Reply