centos中tomcat安全配置方法

CentOS中Tomcat安全配置方法

1. 初始化配置

删除默认目录：首次安装Tomcat后，删除webapps目录下的所有默认应用（如docs、examples、manager等），防止恶意代码通过默认应用部署到服务器。命令：rm -rf /opt/tomcat/webapps/*（路径以实际安装目录为准）。
清理默认用户：注释或删除conf/tomcat-users.xml中的所有用户和角色定义，避免未授权用户通过默认账户访问管理界面。
隐藏版本信息：修改conf/server.xml中的Connector节点，添加server属性（如server="MyAppServer/1.0"），隐藏Tomcat版本号，降低攻击者针对性利用漏洞的风险。

2. 用户与权限管理

使用非root用户启动：创建专用用户（如tomcat）运行Tomcat，避免以root身份运行导致权限过高。命令：
```
sudo useradd -r -m -d /opt/tomcat -s /bin/false tomcat
sudo chown -R tomcat:tomcat /opt/tomcat
```

配置用户角色：编辑conf/tomcat-users.xml，仅添加必要的用户及角色（如manager-gui用于管理界面、admin用于应用管理），并为每个角色分配最小权限。示例：

<tomcat-users>
    <role rolename="manager-gui"/>
    <role rolename="admin-gui"/>
    <user username="admin" password="StrongPassword123!" roles="manager-gui,admin-gui"/>
</tomcat-users>

配置SELinux（若启用）：若系统启用SELinux，需设置正确的上下文以允许Tomcat访问资源。命令：
```
sudo chcon -R -t httpd_sys_content_t /opt/tomcat
sudo chcon -R -t httpd_sys_rw_content_t /opt/tomcat/logs
```

3. 端口与服务管理

修改默认端口：更改server.xml中Connector的port属性（如将HTTP端口从8080改为8081，HTTPS从8443改为8444），避免使用默认端口被扫描工具快速识别。

配置防火墙：使用firewalld限制访问Tomcat端口的IP地址，仅允许可信IP访问。示例：

sudo firewall-cmd --zone=public --add-port=8081/tcp --permanent  # 允许修改后的HTTP端口
sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="8081" accept'  # 仅允许特定IP
sudo firewall-cmd --reload

4. 应用安全配置

关闭自动部署：在server.xml的Host节点中，设置unpackWARs="false"和autoDeploy="false"，防止恶意WAR文件自动解压和部署。示例：
```
<Host name="localhost" appBase="webapps" unpackWARs="false" autoDeploy="false">
```

禁用目录列表：编辑webapps/yourapp/WEB-INF/web.xml，添加listings="false"，防止目录结构泄露敏感文件。示例：

<servlet>
    <servlet-name>default</servlet-name>
    <servlet-class>org.apache.catalina.servlets.DefaultServlet</servlet-class>
    <init-param>
        <param-name>listings</param-name>
        <param-value>false</param-value>
    </init-param>
</servlet>

强化会话安全：在context.xml中，设置sessionCookieHttpOnly="true"（防止XSS窃取Cookie）、sessionCookieSecure="true"（仅通过HTTPS传输Cookie）。示例：
```
<Context sessionCookieHttpOnly="true" sessionCookieSecure="true">
```

5. SSL/TLS加密配置

生成SSL证书：使用OpenSSL生成自签名证书（生产环境建议使用CA颁发的证书）。命令：

openssl req -newkey rsa:2048 -new -nodes -x509 -days 3650 -keyout /etc/pki/tls/private/tomcat.key -out /etc/pki/tls/certs/tomcat.crt

配置HTTPS连接器：编辑server.xml，添加Connector节点，启用HTTPS并指定证书路径。示例：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           SSLEnabled="true" scheme="https" secure="true"
           keystoreFile="/etc/pki/tls/certs/tomcat.crt"
           keystorePass="yourKeystorePassword"/>

6. 操作系统级安全

限制Tomcat进程权限：通过Systemd服务文件（/etc/systemd/system/tomcat.service）设置Tomcat以tomcat用户身份运行。示例[Service]部分：
```
[Service]
User=tomcat
Group=tomcat
ExecStart=/opt/tomcat/bin/startup.sh
ExecStop=/opt/tomcat/bin/shutdown.sh
Restart=on-failure
```
定期更新Tomcat：关注Apache Tomcat官网的安全公告，及时升级到最新版本，修复已知漏洞。

7. 日志与监控

启用详细日志：配置conf/logging.properties，开启org.apache.catalina和org.apache.tomcat包的FINE级别日志，记录访问和操作详情，便于安全审计。
定期检查日志：使用tail或grep命令定期查看logs/catalina.out和logs/localhost_access_log.*.txt，监控异常访问（如频繁的404错误、可疑IP地址）。