中间件安全基线配置

 jBoss远程命令执行

jBoss是J2EE环境中一个流行的web容器,但是jBos在默认安装时提供的一些功能却不太安全,如果配置不得当,则可能直接造成远程命令执行。由于jBos在默认安装时会有一个管理后台,叫做 JMX-Console,它提供给管理员一些强大的功能,其中包括配置 MBeans,这同样也会为黑客们打开方便之门。通过8080端口(默认安装时会监听8080端口)访问/ jmx-console能够进入到这个管理界面。默认安装时访间JMX- Console是没有任何认证的。

在 JMX-Console中,有多种可以远程执行命令的方法。最简单的方式,是通过JMX- Console为黑客大开方便之门,通过简单的“ Google hacking”,可以在互联网上找到很多开放了 JMX-Console的网站,其中大多数是存在漏洞的。

因此出于安全防御的目的,在加固时,需要删除 JMX-Console后台,事实上, jBoss的使用完全可以不依赖于它。要移除 IMX-Console,只需要删除 jmx-consolewar和 web-console war即可,它们分别位于 SJBOSS HOME/server/all/deploy和 ISJBOSS HOME/server/default/deploy目录下。使用如下命令删除

cd SJBOSS HOME

bin/shutdown. sh

mv ./server/all/deploy/imx-consle war jmx-console-all bak

mv ./server/default/deploy/jmx-console war jmx-console. war-default-bak

mv ./server/all/deploy/management/console-mgr. sar/web-console warweb-console-allbak

mv ./server/de fault/deploy/management/console-mgr sar/web-console war

web-console-default bak

bin/run.sh

如果出于业务需要不得不使用 JMX-Console,则应该使用一个强壮的密码,并且运行JMX-Console的端口不应该面向整个 Internet开放。

Tomcat远程命令执行

Apache Tomcat与 jBoss一样,默认也会运行在8080端口。它提供的 Tomcat Manager的作用与 IMX-Console类似,管理员也可以在 Tomcat Manager中部署war包.

但值得庆幸的是, Tomcat Manager布署war包需要有 manager权限,而这一权限是在配置

文件中定义的。一个典型的配置文件如下:

conf): cat tomcat-users, xml

<?xm1 version=‘1o‘ encoding-,utf-8.?>

<ctomcat-users>

<role rolename="tomcat”/>

<role rolename="role1"/>

<user username=" tomcat password=“tomcat" roles="tomcat"/>

<user username="both" password-“tomcat">

<user username="role. password-"tomcatroles="role1"/>

</tomcat-users>

nitrogen conf]#