Tomcat在CentOS中如何进行安全加固

在CentOS中对Tomcat进行安全加固是确保服务器稳定性和数据安全性的重要步骤。以下是一些关键的安全加固措施：

初始化配置

删除默认目录：首次安装完成后，删除 /srv/apache-tomcat/webapps 下的所有内容，以防止恶意代码的部署。
```
rm -rf /srv/apache-tomcat/webapps/*
```

注释或删除 tomcat-users.xml 中的所有用户权限：以减少潜在的安全风险。

# cat conf/tomcat-users.xml
# <!--
tomcat-users:
  user1: password1, role1
  user2: password2, role2
-->

隐藏Tomcat版本信息：修改 server.xml 文件，添加 server 属性以隐藏Tomcat版本信息。

<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000" redirectPort="8443"
           server="MyAppServer/1.0" />

用户与端口管理

使用非root用户启动Tomcat：创建一个新用户并赋予其Tomcat目录的权限，以避免使用root用户启动Tomcat。
```
useradd -p password myuser
chown -R myuser:myuser /usr/java/tomcat7/*
```
配置防火墙：允许特定端口（如8080）的访问，并禁止其他端口的访问。
```
sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
sudo firewall-cmd --reload
```

应用程序安全

关闭自动部署：在 server.xml 中设置 unpackWARs="false" 和 autoDeploy="false"，以防止自动部署恶意WAR文件。
```
<Host name="localhost" appBase="webapps" unpackWARs="false" autoDeploy="false">
```

修改JSESSIONID：将JSESSIONID改为PHPSESSID，以减少会话劫持的风险。

<Context sessionCookiePath="/myapp"
           sessionCookieHttpOnly="true"
           sessionCookieSecure="true" />

禁止不必要的组件

删除不必要的目录：删除 webapps 目录下的 docs、examples、host-manager、manager、ROOT 目录，以减少潜在的攻击面。

rm -rf /srv/apache-tomcat/webapps/docs /srv/apache-tomcat/webapps/examples /srv/apache-tomcat/webapps/host-manager /srv/apache-tomcat/webapps/manager /srv/apache-tomcat/webapps/ROOT

配置HTTPS

获取SSL证书：从可信的证书颁发机构获取SSL证书。

配置Tomcat使用HTTPS：修改 server.xml 文件，添加SSL连接器。

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS"
           keystoreFile="/path/to/your/keystore"
           keystorePass="yourKeystorePassword" />

其他安全建议

使用Systemd管理服务：创建并启用Tomcat的Systemd服务文件，以便更好地管理Tomcat服务。
```
sudo systemctl daemon-reload
sudo systemctl enable tomcat
sudo systemctl start tomcat
```
定期更新Tomcat：保持Tomcat版本的最新状态，以获取最新的安全补丁。
监控和日志审计：定期检查Tomcat日志文件，监控异常活动。