开源 Apache 服务器安全防护技术精要及实战

（2）为“监牢”添加 httpd 程序，命令如下：

添加后的目录结构如下所示：

（4）重新启动 httpd，并使用 ps 命令检查 httpd 进程，发现该进程已经运行在监牢中，如下所示：

只有将上述安全模块进行开启后 ,Apache 才能实现相应的访问控制和通信加密功能。

管理认证口令文件和认证组文件

要实现用户认证功能，首先要建立保存用户名和口令的文件。Apache 自带的 htpasswd 命令提供了建立和更新存储用户名、密码的文本文件的功能。需要注意的是，这个文件必须放在不能被网络访问的位置，以避免被下载和信息泄漏。建议将口令文件 放在 /etc/httpd/ 目录或者其子目录下。

下面的例子在 /etc/httpd 目录下创建一个文件名为 passwd_auth 的口令文件，并将用户 rhel5 添加入认证口令文件。使用以下命令建立口令文件（过程中还会提示输入该用户的口令）：

# touch passwd_auth   # htpasswd -c /etc/httpd/passwd_auth rhel5   New password:   Re-type new password:   Adding password for user rhel5

命令执行的过程中系统会要求用户为 rhel5 用户输入密码。上述命令中的 -c 选项表示无论口令文件是否已经存在，都会重新写入文件并删去原有内容。所以在添加第 2 个用户到口令文件时，就不需要使用 -c 选项了，如下命令所示

# htpasswd /etc/httpd/passwd_auth testuser

认证和授权使用实例

配置指令

Apache 实现访问控制的配置指令包括如下三种：

（1）order 指令：用于指定执行允许访问控制规则或者拒绝访问控制规则的顺序。order 只能设置为 Order allow，deny 或 Order deny，allow，分别用来表明用户先设置允许的访问地址还是先设置禁止访问的地址。Order 选项用于定义缺省的访问权限与 Allow 和 Deny 语句的处理顺序。Allow 和 Deny 语句可以针对客户机的域名或 IP 地址进行设置，以决定哪些客户机能够访问服务器。Order 语句设置的两种值的具体含义如下：

• allow, deny：缺省禁止所有客户机的访问，且 Allow 语句在 Deny 语句之前被匹配。如果某条件既匹配 Deny 语句又匹配 Allow 语句，则 Deny 语句会起作用（因为 Deny 语句覆盖了 Allow 语句）。
• deny, allow：缺省允许所有客户机的访问，且 Deny 语句在 Allow 语句之前被匹配。如果某条件既匹配 Deny 语句又匹配 Allow 语句，则 Allow 语句会起作用（因为 Allow 语句覆盖了 Deny 语句）。

（2）allow 指令：指明允许访问的地址或地址序列。如 allow from all 指令表明允许所有 IP 来的访问请求。

（3）deny 指令：指明禁止访问的地址或地址序列。如 deny from all 指令表明禁止所有 IP 来的访问请求。

应用实例

下面举几个简单的例子对上述 order、allow 和 deny 命令的使用进行示范。

（1）在下面的例子中，admin.org 域中所有主机都允许访问网站，而其他非该域中的任何主机访问都被拒绝，因为 Deny 在前，Allow 在后，Allow 语句覆盖了 Deny 语句：

Order Deny,Allow   Deny from all   Allow from admin.org

（2）下面例子中，admin.org 域中所有主机，除了 db.admin.org 子域包含的主机被拒绝访问以外，都允许访问。而所有不在 admin.org 域中的主机都不允许访问，因为缺省状态是拒绝对服务器的访问（Allow 在前，Deny 在后，Deny 语句覆盖了 Allow 语句）：

Order Allow,Deny   Allow from admin.org   Deny from db.admin.org

使用主配置文件配置用户认证及授权

在本例子中，用户可以在 Apache 的主配置文件 httpd.conf 中加入以下语句建立对目录 /var/www/html/rhel5 访问的用户认证和授权机制：

    AllowOverride None   AuthType Basic   AuthName "rhel5"   AuthUserFile /etc/httpd/passwd_auth   Require user rhel5 testuser   

在上述例子中，使用了如下指令：

• AllowOverride：该选项定义了不使用 .htaccess 文件。
• AuthType Basic：AuthType 选项定义了对用户实施认证的类型，最常用的是由 mod_auth 提供的 Basic。
• AuthName：定义了 Web 浏览器显示输入用户 / 密码对话框时的领域内容。
• AuthUserFile：定义了口令文件的路径，即使用 htpasswd 建立的口令文件。
• Require user：定义了允许哪些用户访问，各用户之间用空格分开。

需要注意的是：在 AuthUserFile 选项定义中，还需要使用如下语句事先建立认证用户 patterson 和 testuser，该选项中的定义才能生效：

#htpasswd -c /etc/httpd/passwd_auth rhel5   #htpasswd /etc/httpd/passwd_auth testuser

使用 .htaccess 文件配置用户认证和授权

在本例子中，为了完成如上述例子同样的功能，需要先在主配置文件中加入如下语句：

    AllowOverride AuthConfig   

上述语句中的 AllowOverride 选项允许在 .htaccess 文件中使用认证和授权指令。、、然后，在 .htaccess 文件中添加如下语句即可：

AuthType Basic   AuthName "Please Login:"   AuthUserFile /etc/httpd/passwd_auth   Require user rhel5 testuser、

同理，在 AuthUserFile 选项定义中，还需要使用如下语句事先建立认证用户 patterson 和 testuser，该选项中的定义才能生效：

#htpasswd -c /etc/httpd/passwd_auth rhel5

#htpasswd /etc/httpd/passwd_auth testuser

保证 Apache 服务通信安全

Apache 中 SSL 原理

在 SSL 通信中，首先采用非对称加密交换信息，使得服务器获得浏览器端提供的对称加密的密钥，然后利用该密钥进行通信过程中信息的加密和解密。为了保证消息在传递 过程中没有被篡改，可以加密 Hash 编码来确保信息的完整性。服务器数字证书主要颁发给 Web 站点或其他需要安全鉴别的服务器，证明服务器的身份信息，同样客户端数字证书用于证明客户端的身份。

使用公用密钥的方式可以保证数据传输没有问题，但如果浏览器客户访问的站点被假冒，这也是一个严重的安全问题。这个问题不属于加密本身，而是要保证密钥本 身的正确性问题。要保证所获得的其他站点公用密钥为其正确的密钥，而非假冒站点的密钥，就必须通过一个认证机制，能对站点的密钥进行认证。当然即使没有经 过认证，仍然可以保证信息传输安全，只是客户不能确信访问的服务器没有被假冒。如果不是为了提供电子商务等方面对安全性要求很高的服务，一般不需要如此严 格的考虑

。

下面给出使用 SSL 进行通信的过程（参见图 4）：

（1）客户端向服务器端发起对话，协商传送加密算法。例如：对称加密算法有 DES、RC5，密钥交换算法有 RSA 和 DH，摘要算法有 MD5 和 SHA。

（2）服务器向客户端发送服务器数字证书。比如：使用 DES－RSA－MD5 这对组合进行通信。客户端可以验证服务器的身份，决定是否需要建立通信。

（3）客户端向服务器传送本次对话的密钥。在检查服务器的数字证书是否正确，通过 CA 机构颁发的证书验证了服务器证书的真实有效性之后，客户端生成利用服务器的公钥加密的本次对话的密钥发送给服务器。

（4）服务器用自己的私钥解密获取本次通信的密钥。

（5）双方的通信正式开始。

图 4. SSL 通信流程示意

在一般情况下，当客户端是保密信息的传递者时，他不需要数字证书验证自己身份的真实性，如用户通常使用的网上银行交易活动，客户需要将自己的隐秘信息—— 账号和密码发送给银行，因此银行的服务器需要安装数字证书来表明自己身份的有效性，否则将会使得信息泄露。当然，在某些安全性要求极高的 B2B（Business to Business）应用，服务器端也需要对客户端的身份进行验证，这时客户端也需要安装数字证书以保证通信时服务器可以辨别出客户端的身份，验证过程类似 于服务器身份的验证过程。另外，在一些电子商务的应用中，可能还会使用到电子签名，或者为了信息交换的更加安全，会增加电子签名和消息校验码（MAC）。 而在通常情况下，浏览器都会通过交互的方式来完成上述的通信过程，下面在 Linux 中对 Apache 采用 SSL 也会作详细地介绍。

安装和启动 SSL

安装 SSL

虽然 Apache 服务器不支持 SSL，但 Apache 服务器有两个可以自由使用的支持 SSL 的相关计划，一个为 Apache-SSL，它集成了 Apache 服务器和 SSL，另一个为 Apache+mod_ssl，它是通过可动态加载的模块 mod_ssl 来支持 SSL，其中后一个是由前一个分化出的，并由于使用模块，易用性很好，因此使用范围更为广泛。还有一些基于 Apache 并集成了 SSL 能力的商业 Web 服务器，然而使用这些商业 Web 服务器主要是北美，这是因为在那里 SSL 使用的公开密钥的算法具备专利权，不能用于商业目的，其他的国家不必考虑这个专利问题，而可以自由使用 SSL。

Apache+mod_ssl 依赖于另外一个软件：OpenSSL，它是一个可以自由使用的 SSL 实现，首先需要安装这个软件。用户可以从网站 http://www.openssl.org/source/ 上下载 Linux 下 OpenSSL 的最新稳定版本：openssl-1.0.1c.tar.gz。

下载源代码安装包后，使用如下的步骤安装即可：

（1）用 openssl-1.0.1c.tar.gz 软件包安装 OpenSSL 之前，首先须要对该软件包进行解压缩和解包。用以下命令完成软件包的解压缩和解包：

#tar xvfz openssl-1.0.1c.tar.gz

（2）解压缩后，进入源码的目录 openssl-1.0.1c ，并使用配置脚本进行环境的设置。相应的命令为：

// 改变当前目录为 openssl-1.0.1c 目录   #cd openssl-1.0.1c          // 执行该目录下配置脚本程序   #./configure

（3）在执行 ./configure 之后，配置脚本会自动生成 Makefile。如果在设置的过程中没有任何的错误，就可以开始编译源码了。相应的命令及其显示结果如下：

#make & make install

安装好 OpenSSL 之后，就可以安装使用 Apache+mod_ssl 了。然而为了安装完全正确，需要清除原先安装的 Apache 服务器的其他版本，并且还要清除所有的设置文件及其缺省设置文件，以避免出现安装问题。最好也删除 /usr/local/www 目录（或更名），以便安装程序能建立正确的初始文档目录。如果是一台没有安装过 Apache 服务器的新系统，就可以忽略这个步骤，而直接安装 Apache+mod_ssl 了。

启动和关闭 SSL

启动和关闭该服务器的命令如下所示：

• #apachectl start：启动 apache。
• #apachectl startssl：启动 apache ssl。
• #apachectl stop：停止 apache。
• #apachectl restart：重新启动 apache。
• #apachectl status：显示 apache 的状态。
• #apachectl configtest：测试 httpd.conf 配置是否正确。
• # /usr/local/sbin/apachectl startssl

此时使用 start 参数为仅仅启动普通 Apache 的 httpd 守护进程，而不启动其 SSL 能力，而 startssl 才能启动 Apache 的 SSL 能力。如果之前 Apache 的守护进程正在运行，便需要使用 stop 参数先停止服务器运行。

为 OpenSSL 产生证书

在采用 OpenSSL 进行 Apache 通信加密前，需要先产生与加密相关的认证凭证（也就是证书），如下步骤所示：

# openssl genrsa -out apache.key 1024   Generating RSA private key, 1024 bit long modulus   ..........................................++++++   .....................++++++   e is 65537 (0x10001)      # openssl req -new -key apache.key -out apache.csr   You are about to be asked to enter information that will be incorporated   into your certificate request.   What you are about to enter is what is called a Distinguished Name or a DN.   There are quite a few fields but you can leave some blank   For some fields there will be a default value,   If you enter '.', the field will be left blank.   -----   Country Name (2 letter code) [GB]:CN   State or Province Name (full name) [Berkshire]:China   Locality Name (eg, city) [Newbury]:Beijing   Organization Name (eg, company) [My Company Ltd]:CSO   Organizational Unit Name (eg, section) []:CSO   Common Name (eg, your name or your server's hostname) []:localhost   Email Address []:CSO@ittf.org.cn      Please enter the following 'extra' attributes   to be sent with your certificate request   A challenge password []:apacheserver   An optional company name []:apacheserver      # openssl x509 -req -days 365 -in apache.csr -signkey apache.key -out apache.crt   Signature ok   subject=/C=CN/ST=China/L=Beijing/O=CSO/OU=CSO/CN=localhost/emailAddress=CSO@ittf.org.cn   Getting Private key

经过上述步骤后，将会产生三个文件 apache.csr, apache.key 和 apache.crt，然后把这三个文件拷贝到 /etc/httpd/conf/ca 目录下即可。

然后，就可以启动 Mozilla、IE 或其他支持 SSL 的浏览器，输入 URL 为：https://ssl_server/来查看服务器是否有相应，https 使用的缺省端口为 443，如果一切正常，服务器将会返回给客户端证书，由客户端进行验证并且判断，是否接受该证书并进行下一步的通信过程。

下面以 Linux 下的 Mozilla Firefox 浏览器为例，来简要说明使用 Apache+SSL 服务器的过程。首先，图 5 给出了查看和验证该证书的相关提示；最后，图 6 则给出了证书验证成功后，采用 SSL 进行保密传输的具体界面示意：

图 5. 验证证书示意

图 6. 证书通过验证，正常通信开始

Apache 日志管理

日志管理分类

日志文件是用户管理和监控 Apache 安全的非常好的第一手资料，它清晰地记录了客户端访问 Apache 服务器资源的每一条记录，以及在访问中出现的错误信息，可以这样说，Apache 可以记录 Web 访问中感兴趣的几乎所有信息。

当运行 Apache 服务器时生成 4 个标准的日志文件：

• 错误日志
• 访问日志
• 传输日志
• Cookie 日志

其中比较常见的是访问日志（access_log）和错误日志（error_log），其中传输日志和 cookie 日志被 Apache 2.0 以上的版本丢弃，所以本文不讨论这两种日志。当然，如果使用 SSL 服务的话，还可能存在 ssl_access_log、ssl_error_log 和 ssl_request_log 三种日志文件。

另外，值得注意的是：上述几种日志文件如果长度过大，还可能生成注入 access_log.1，error_log.2 等的额外文件，其格式与含义与上述几种文件相同，只不过系统自动为其进行命名而已。

日志相关的配置指令

Apache 中提供如下 4 条与日志相关的配置指令：

• ErrorLog 指令：用于指定错误日志的存放路径，使用语法为：ErrorLog 文件名；
• LogLevel：用于指定错误日志的错误登记，使用语法为：Loglevel 等级；
• LogFormat：用于为日志记录格式命名，使用语法为：LogFormat 记录格式说明字符串 格式称谓；
• CustomLog：用于指定访问日志存放路径和记录格式，指定访问日志由指定的程序生成并指定日志的记录格式，使用语法为：CustomLog 日志文件名 格式称谓。

在上述几个文件当中，除了 error_log 和 ssl_error_log 之外，所有日志文件以由 CustomLog 和 LogFormat 指令指定的格式生成。这些指令在 httpd.conf 文件中出现。使用 LogFormat 指令可以定义新的日志文件格式：

LogFormat “%h  %l  %u  %t  \ “%> %s %b “common

假定使用的是 common 日志格式或者 combined 日志格式，这两种格式都在默认的配置文件中定义。表 1 列出了 LogFormat 语句可以使用的变量：

表 1. LogFormat 语句的变量

变 量	含 义
%b	发送字节，不包括 HTTP 标题
%f	文件名
%{VARIABLE}e	环境变量 VARIABLE 的内容
%h	远程主机
%a	远程 IP 地址
%{HEADER}i	HEADER 内容；发送到服务器的请求的标题行
%l	远程登录名（如果提供该值，则从 identd 获得）
%{NOTE}n	来自另一个模块的 NOTE 通知的内容
%{HEADER}o	HEADER 的内容，回复中的标题行
%p	服务器服务于请求的规范端口
%P	服务于请求的子进程的 ID
%r	请求的第一行
%s	状态。对于内部重定向的请求，该状态为初始请求—最后是 %>s
%t	时间，格式为 common 日志格式中的时间格式
%{format}t	时间，格式由 format 给出。可以是 strftime（3）格式
%T	服务请求花费的时间，以秒计
%u	来自 auth 的远程用户；如果返回的状态（%s）为 401 则可能是假的
%U	请求的 URL 路径
%v	服务于该请求的服务器的规范 ServerName

在每个变量中，可以在前面设置一个条件，决定是否显示该变量。如果不显示，则显示 -。这些条件是数值返回值列表的形式。另外，还可以使用 CustomLog 指令指定日志文件的位置和格式。如果没有指定日志文件的绝对路径，则日志文件的位置假定为相对于 ServerRoot。下面是 httpd.conf 文件中指定日志文件的语句：

//   // The location and format of the access logfile（Common Logfile Format）.   // If you do not define any access logfiles within a   // container, they will be logged here.  Contrariwise, if you *do*   // define per- access logfiles, transactions will be   // logged therein and *not* in this file.   //   CustomLog logs/access_log common      ErrorLog logs/error_log

日志记录等级和分类

一般说来，Apache 中的错误日志记录等级有如表 2 所示的八类：

表 2. 错误日志记录的等级

紧急性	等级	解释
1	Emerg	出现紧急状况使得系统不可用
2	Alert	需要立即引起注意的状况
3	Crit	危险情况的警告
4	Error	除上述 3 种情况之外的其他错误
5	Warn	警告信息
6	Notice	需要引起注意的情况，不如第 4 和第 5 类重要
7	Info	需要报告的一般消息
8	Debug	运行于 debug 模式的程序产生的消息

另外，在 Apache 中，将访问日志分为如下 4 类：

• 普通日志格式（common log format，CLF）：大多数日志分析软件都支持这种格式，其在 LogFormat 指定中定义的昵称为 common；
• 参考日志格式（referer log format）：记录客户访问站点的用户身份，其在 LogFormat 指定中定义的昵称为 referer；
• 代理日志格式（agent log format）：记录请求的用户代理，其在 LogFormat 指定中定义的昵称为 agent；
• 综合日志格式（combined log format）：即结合上述三种格式的日志信息，其在 LogFormat 指定中定义的昵称为 combined。

在实际的使用过程中，由于综合日志格式有效地结合了其他 3 种日志格式和信息，所以在配制访问日志时，可以有两种方式：

（1）分别使用 3 个文件进行分别记录，相应配置示例如下：

LogFormat “%h %l %u %t \ “%r\” %>s %b” common   LogFormat “%{Referer}i->%U” referer   LogFormat “%{Apache User-agent}i” agent   CustomLog logs/access_log common   CustomLog logs/referer_log referer   CustomLog logs/agent_log agent

（2）使用一个综合文件进行记录，相应配置示例如下：

LogFormat “%h %l %u %t \ “%r\” %>s %b \”%{Referer}i\” \    “%{Apache User-Agent}i\””combined  CustomLog logs/access_log combined