Web实战之五：服务器安全访问控制

随着Internet技术的飞速发展，Web技术得到广泛应用。而安全问题一直都是Internet的一个薄弱环节，任何连接到Internet或者其他网络的计算机都有可能受到黑客的攻击。

    从国际www安全小组CERT（Computer Emergency Response Team）的统计资料来看，Internet中与www相关的安全事故呈逐年上升趋势。www安全主要包括三个方面：Web服务器安全、主机安全和传输安全。由于服务器端操作系统的安全漏洞、www服务软件本身存在问题和服务器端的错误配置等等一些问题，导致web服务器存在一定的安全隐患；网络病毒、恶意代码和系统配置不当等等是对主机的安全威胁；Internet是连接Web客户机和服务器通信的信道，攻击者可以利用嗅探程序，侦听信道，以获取机密信息。这些多种多样的安全威胁给人们的日常生活和经济生活造成很大麻烦。

    这里重点讨论如何加强web服务器安全。市场上有许许多多的web服务器，例如：Apache、IIS、Zeus、iPlanet、AOLserver和Jigsaw等等。

一、加强Web服务器安全的措施

    无论何种类型的Web服务器，其基本的安全问题是相同的，这就是：安全配置、身份认证和访问控制等。加强Web服务器安全的主要措施如下：

    （1）合理配置Web服务器

    主要措施有：①具有合法权限的用户才可以运行web服务器；②通过某个IP地址、IP地址段或者某个域来控制，未被允许的IP地址、IP地址段或某个域发出来的请求将被拒绝；③通过用户名／口令来控制，只有输入正确的用户名／口令时，才允许访问。

    （2）设置Web服务器有关目录的权限

    （3）审阅日志文件

    日志文件是web服务器工作的记录。它记录了系统每天发生的各种各样的情况，可以通过它来检查故障发生的原因，或者受到攻击时攻击者留下的痕迹。日志的主要功能是：审计和监测。它还可以实时监测系统状态，监测和追踪入侵者等等。

    （4）进行必要的数据备分

    定期对web服务器做安全检查，安全管理Web服务器。这里以Apache服务器为例，介绍上述安全措施的具体实施方案。

二、设置Web服务器有关目录的权限

    为了更好地维护Web服务器安全，管理员应对“服务器根目录”（日志文件和配置文件存放目录）和“文档根目录”（默认的客户文档存放目录）做严格的访问权限控制。

    （1）服务器根目录下存放配置文件、错误和日志文件等敏感信息，它们对系统的安全至关重要，不能随意读取或删改。

    （2）一般，Web服务器由root用户启动，然后切换为由user指令所指定的用户。在根目录下执行命令时需注意非root对其操作无效。不仅文件本身，目录及其父目录都只有root具有写的权限。如果允许非root用户对由root执行或读写的文件有写权限，则会危及系统。

    （3）文档根目录定义Web服务器对外发布的超文本文档存放的路径，客户程序请求的URL就被映射为这个目录下的网页文件。这个目录下的子目录，以及使用符号连接指出的文件和目录都能被浏览器访问，只是要在URL上使用同样的相对目录名。

    符号连接虽然逻辑上位于根文档目录之下，但实际上可以位于计算机上的任意目录中，因此可以使客户程序能访问那些根文档目录之外的目录，这在增加了灵活性的同时也减少了安全性。Apache在目录的访问控制中提供了FollowSymLinks选项来打开或关闭支持符号连接的特性。