1. AutoIndex

?

預(yù)設(shè)安裝好 Apache 之后，其預(yù)設(shè)目錄是在 /var/www/html/，如果沒(méi)有設(shè)定 index.html 的話，那么就會(huì)印出目前目錄里的所有檔案和目錄，基於安全理由，希望把 AutoIndex 這個(gè)取消，如此在別人打入網(wǎng)址后，就會(huì)出現(xiàn) 403 的存取權(quán)限不足，只有在很“明確”的指出檔案時(shí)才可以瀏覽。

?

關(guān)閉 /var/www/html 里（含子目錄）的自動(dòng)印出首頁(yè)功能

      [root@rhel conf]# vi httpd.conf
_______________________________
<Directory "/var/www/html">
#把 Options Indexes FollowSymLinks 注解起來(lái)
#Options Indexes FollowSymLinks
#修改成只剩 FollowSymLinks
Options FollowSymLinks
AllowOverride None
Order allow,deny
Allow from all
</Directory>
_______________________________
[root@rhel conf]#
    

?

注意：

如果你是從Windows轉(zhuǎn)過(guò)來(lái)Ubuntu的話，可能都會(huì)有一個(gè)疑問(wèn)，為什么在Ubuntu上找不到httpd.conf檔哩?? 因?yàn)閁buntu上根本就不用httpd.conf這個(gè)名稱了。

?

在裝好Apache2之后，Apache2的設(shè)定檔會(huì)存放在 /etc/apache2 ，里面有一個(gè)apache2.conf檔是整個(gè)Apache2的設(shè)定 檔，一般來(lái)說(shuō)是不用去動(dòng)它的，如果要調(diào)設(shè)定的話，是要到 /etc/apache2/sites-available 里去調(diào)的，預(yù)設(shè)的網(wǎng)站是調(diào) /etc /apache2/sites-available/default 這個(gè)檔的，而這個(gè)檔就等同是httpd.conf，只是命名方式不同而已哩!!

?

/etc/apache2/sites-available和/etc/apache2/sites-enabled有什么不同?沒(méi)有不同，只要是在sites-available有用a2ensite指令啟用的虛擬主機(jī)，就會(huì)在sites-enabled建立一個(gè)連結(jié)。

?

重新啟動(dòng) httpd

      [root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
    

?

或者：

      // Apache
//Task: Start Apache 2 Server /啟動(dòng)apache服務(wù)
# /etc/init.d/apache2 start
//or
$ sudo /etc/init.d/apache2 start
//Task: Restart Apache 2 Server /重啟apache服務(wù)
# /etc/init.d/apache2 restart
//or
$ sudo /etc/init.d/apache2 restart
//Task: Stop Apache 2 Server /停止apache服務(wù)
# /etc/init.d/apache2 stop
//or
$ sudo /etc/init.d/apache2 stop 
// Mysql
/etc/init.d/mysql start
/etc/init.d/mysql stop
/etc/init.d/mysql restart
    

?

      // httpd是Apache超文本傳輸協(xié)議(HTTP)服務(wù)器的主程序。被設(shè)計(jì)為一個(gè)獨(dú)立運(yùn)行的后臺(tái)進(jìn)程，它會(huì)建立一個(gè)處理請(qǐng)求的子進(jìn)程或線程的池。
// 通常，httpd不應(yīng)該被直接調(diào)用，而應(yīng)該在類Unix系統(tǒng)中由 apachectl 調(diào)用
// man apache2 中介紹
// apache2 is the Apache HyperText Transfer Protocol (HTTP) server program.
// It is designed to be run as a standalone daemon process. When  used  like
// this it will create a pool of child processes or threads to handle requests.
// In general, apache2 should not be invoked directly,
// but rather should be invoked via /etc/init.d/apache2 or apache2ctl.
// The default Debian config-uration requires environment variables
// that are defined in /etc/apache2/envvars and are not available if apache2 is  started  directly.
// However,apache2ctl can be used to pass arbitrary arguments to apache2.
//
// apache2ctl = apache2 ConTroL
//
apache2ctl -restart
apache2ctl -stop
apache2ctl -t
// 詳細(xì)見(jiàn) man apache2
    

?

2. 虛擬目錄

?

一般特別重要或有特別作用的目錄，會(huì)放在 /var/www/html 之外的其它目錄，比方說(shuō)現(xiàn)在 /file/download/ 目錄，要在使用者打入 http://www.abc.com.tw/download/ 時(shí)，可以自動(dòng)對(duì)應(yīng)到 /file/download/ 這個(gè)目錄，就好像是在 /var/www/html 里面一樣，這時(shí)我們可以使用 alias 的方式做出一個(gè)虛擬目錄，使用 Alias 就可以辦得到了。

      [root@rhel conf]# vi httpd.conf
_______________________________
Alias /download/ "/file/download/"
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
    

?

注意：Alias 語(yǔ)法為 Alias {target} {source} ，在 {target} 的描述中（以 download），如果打了一個(gè) "/" 符號(hào)，那么使用者在輸入網(wǎng)址時(shí)只能是 http://www.abc.com.tw/download / 后面就要多帶一個(gè) "/"，否則會(huì)出現(xiàn) 404 的找不到檔案錯(cuò)誤。

?

3. ServerName 的設(shè)定

?

其實(shí) ServerName 在大部份的情況下可以不設(shè)定，但是如果有做重新導(dǎo)向的話，那么如果這個(gè)值不存在，Apache 在啟動(dòng)時(shí)會(huì)以 127.0.0.1 來(lái)做預(yù)設(shè)的 ServerName。因此等到有預(yù)到重新導(dǎo)向的情況時(shí)，就會(huì)出現(xiàn)問(wèn)題。要更正這個(gè)問(wèn)題，只要加入一個(gè) ServerName 的值就可以了。

      [root@rhel conf]# vi httpd.conf
_______________________________
ServerName www.abc.com.tw
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
    

?

4. 修改預(yù)設(shè)目錄

?

Apache 安裝好之后，預(yù)設(shè)全是在 /var/www/html 里面，如果要修改這個(gè)目錄，只要修改 DocumentRoot 就可以了。

      [root@rhel conf]# vi httpd.conf
_______________________________
DocumentRoot "/project/web"
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
    

?

5. 預(yù)設(shè)聆聽(tīng)埠

?

Apache 安裝之后，會(huì)聆聽(tīng) 80 的標(biāo)準(zhǔn) http 埠，但是當(dāng)這臺(tái) http 有特別功用時(shí)，可能會(huì)修改其 Port，要修改 Port，只要修改 Listen 這個(gè)值就可以了。

      [root@rhel conf]# vi httpd.conf
_______________________________
Listen 8080
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
    

?

注意：修改預(yù)設(shè)的聆聽(tīng)埠，如果在 Firewall 沒(méi)有允許連入的情況下會(huì)出現(xiàn)連線不到的情形，所以在修改完之后還必需檢查 firewall 是否允許。

?

6. 保護(hù)你的目錄資料 - 密碼驗(yàn)證

?

是否想過(guò)，某些特別的目錄，只有特別的人才可以進(jìn)去，但又不想再設(shè)定 / 加裝其它的功能，這時(shí)候就 Apache 可以提供你一個(gè)登入帳號(hào)密碼的機(jī)制，只有通過(guò)的人才可以看到這“特別”的地區(qū)。

?

要編輯的檔案：

?

• /etc/httpd/conf/httpd.conf (以 Redhat 為列)
• .htaccess (設(shè)定檔)
• .htpasswd (帳號(hào) / 密碼檔)

首先，要使用這個(gè)認(rèn)證機(jī)制，就要允許可以做 AuthConfig，比方說(shuō)我要對(duì) http://www.abc.com.tw/secure_data/ 這個(gè) URL 做認(rèn)證，那么就需要使用到 AuthConfig

      [root@rhel conf]# vi /etc/httpd/conf/httpd.conf
_______________________________________
# 做 Alias 到 /home/secure_data/
Alias "/secure_data" "/home/secure_data"

<Directory "/home/secure_data">
# 允許做 AuthConfig 的設(shè)定
AllowOverride AuthConfig
</Directory>
_______________________________________

#重新啟動(dòng) Apache
[root@rhel secure_data]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel secure_data]#
    

?

接下來(lái)，在 /home/secure_data/ 建立一個(gè) .htaccess

      [root@rhel conf]# cd /home/secure_data; touch .htaccess; vi .htaccess
________________________________________
AuthName "ABC Secure Area"
AuthType Basic
# 指定帳號(hào)密碼檔的位置
AuthUserFile "/home/http_auth_users/.htpasswd"
require valid-user
    

?

最后一步，就是建立一個(gè)帳號(hào)密碼檔啦！承於本篇的忠旨－安全理由，所以千萬(wàn)不要把帳號(hào) / 密碼檔這種高度敏感的檔案放到 Public 的區(qū)域，尤其是可經(jīng)由 http、ftp 等方式可取得的管道。本篇我們裝放在 /home/http_auth_user/.htpasswd 里。

      [root@rhel conf]# mkdir /home/http_auth_users; cd /home/http_auth_users; touch .htpasswd
    

?

檔案建立好了，再來(lái)如何建立使用者呢？這時(shí)候就必需使用 htpasswd 這個(gè)指令來(lái)幫我們完成了！

htpasswd 說(shuō)明：

htpasswd -{option} {passwd_file} {user}

option 可使用：

• -m 使用 MD5 編碼
• -c 建立新的密碼檔
• -b 附帶有 "密碼" (不用再輸入一次密碼)

建立 steven 的帳號(hào)密碼：

      [root@mailgw http_auth_users]# htpasswd -m .htpasswd steven
New password:
Re-type new password:
Adding password for user steven
[root@mailgw http_auth_users]#
    

?

現(xiàn)在開(kāi)啟您的 Broser，輸入 http://{Your_URL}/{Need_Password_Dir} 本例為 http://www.abc.com.tw/secure_data 時(shí)就會(huì)出現(xiàn)認(rèn)證畫面了。

?

來(lái)源：http://www.l-penguin.idv.tw/l-penguin.s/article/apache2_security.htm

?

?另一篇來(lái)自：http://www.ibm.com/developerworks/cn/linux/l-cn-apache-secure/

?

Apache 服務(wù)簡(jiǎn)介

?

Web 服務(wù)器也稱為 WWW 服務(wù)器或 HTTP 服務(wù)器 (HTTP Server)，它是 Internet 上最常見(jiàn)也是使用最頻繁的服務(wù)器之一，Web 服務(wù)器能夠?yàn)橛脩籼峁┚W(wǎng)頁(yè)瀏覽、論壇訪問(wèn)等等服務(wù)。

?

由于用戶在通過(guò) Web 瀏覽器訪問(wèn)信息資源的過(guò)程中，無(wú)須再關(guān)心一些技術(shù)性的細(xì)節(jié)，而且界面非常友好，因而 Web 在 Internet 上一推出就得到了爆炸性的發(fā)展。現(xiàn)在 Web 服務(wù)器已經(jīng)成為 Internet 上最大的計(jì)算機(jī)群，Web 文檔之多、鏈接的網(wǎng)絡(luò)之廣，也令人難以想像。因此，Web 服務(wù)器軟件的數(shù)量也開(kāi)始增加，Web 服務(wù)器軟件市場(chǎng)的競(jìng)爭(zhēng)也越來(lái)越激烈。本文所討論的就是一款最常用的 Web 服務(wù)器軟件—— Apache。

?

Apache 是一個(gè)免費(fèi)的軟件，用戶可以免費(fèi)從 Apache 的官方網(wǎng)站下載。任何人都可以參加其組成部分的開(kāi)發(fā)。Apache 允許世界各地的人對(duì)其提供新特性。當(dāng)新代碼提交到 Apache Group 后，Apache Group 對(duì)其具體內(nèi)容進(jìn)行審查并測(cè)試和質(zhì)量檢查。如果他們滿意，該代碼就會(huì)被集成到 Apache 的主要發(fā)行版本中。

?

Apache 的其他主要特征有：

• 支持最新的 HTTP 協(xié)議：是最先支持 HTTP1.1 的 Web 服務(wù)器之一，其與新的 HTTP 協(xié)議完全兼容，同時(shí)與 HTTP1.0、HTTP1.1 向后兼容。Apache 還為支持新協(xié)議做好了準(zhǔn)備。
• 簡(jiǎn)單而強(qiáng)大的基于文件的配置：該服務(wù)器沒(méi)有為管理員提供圖形用戶界面，提供了三個(gè)簡(jiǎn)單但是功能異常強(qiáng)大的配置文件。用戶可以根據(jù)需要用這三個(gè)文件隨心所欲地完成自己希望的 Apache 配置。
• 支持通用網(wǎng)關(guān)接口（CGI）：采用 mod_cgi 模塊支持 CGI。Apache 支持 CGI/1.1 標(biāo)準(zhǔn)，并且提供了一些擴(kuò)充。
• 支持虛擬主機(jī)：是首批既支持 IP 虛擬主機(jī)又支持命名虛擬主機(jī)的 Web 服務(wù)器之一。
• 支持 HTTP 認(rèn)證：支持基于 Web 的基本認(rèn)證。它還有望支持基于消息摘要的認(rèn)證。
• 內(nèi)部集成 Perl：Perl 是 CGI 腳本編程的事實(shí)標(biāo)準(zhǔn)。Apache 對(duì) Perl 提供了良好的支持，通過(guò)使用其 mod_perl 模塊，還可以將 Perl 的腳本裝入內(nèi)存。
• 集成代理服務(wù)器：用戶還可以選擇 Apache 作為代理服務(wù)器。
• 支持 SSL：由于版本法和美國(guó)法律在進(jìn)出口方面的限制，Apache 本身不支持 SSL。但是用戶可以通過(guò)安裝 Apache 的補(bǔ)丁程序集合（Apache－SSL）使得 Apache 支持 SSL。
• 支持 HTTP Cookie：通過(guò)支持 Cookie，可以對(duì)用戶瀏覽 Web 站點(diǎn)進(jìn)行跟蹤。

Apache 服務(wù)面臨的網(wǎng)絡(luò)威脅

?

一般說(shuō)來(lái)，Apache 服務(wù)器主要面臨如下幾種網(wǎng)絡(luò)威脅：

1. 使用 HTTP 協(xié)議進(jìn)行的拒絕服務(wù)攻擊：攻擊者會(huì)通過(guò)某些手段使服務(wù)器拒絕對(duì) HTIP 應(yīng)答。這樣會(huì)使 Apache 對(duì)系統(tǒng)資源（CPU 時(shí)間和內(nèi)存）需求巨增，造成 Apache 系統(tǒng)變慢甚至完全癱瘓，從而引起 HTTP 服務(wù)的中斷或者合法用戶的合法請(qǐng)求得不到及時(shí)地響應(yīng)；
2. 緩沖區(qū)溢出攻擊：由于 Apache 源代碼完全開(kāi)放，攻擊者就可以利用程序編寫的一些缺陷，使程序偏離正常流程。程序使用靜態(tài)分配的內(nèi)存保存請(qǐng)求數(shù)據(jù)，攻擊者就可以發(fā)送一個(gè)超長(zhǎng)請(qǐng)求使緩沖區(qū)溢出，從而導(dǎo)致緩沖區(qū)溢出攻擊；
3. 被攻擊者獲得 root 權(quán)限，威脅系統(tǒng)安全：由于 Apache 服務(wù)器一般以 root 權(quán)限運(yùn)行，攻擊者通過(guò)它獲得 root 權(quán)限，進(jìn)而控制整個(gè) Apache 系統(tǒng)；
4. Apache 服務(wù)器與客戶端通信安全：如果采用明文傳輸，則服務(wù)器與客戶端的敏感通信信息將有可能被黑客或者不法用戶獲取；
5. 由于 Apache 配置文件設(shè)置不當(dāng)引起的安全問(wèn)題：惡意者可以隨意下載或修改刪除系統(tǒng)文件。這主要涉及到對(duì)訪問(wèn)者的內(nèi)容和權(quán)限的限制。

要應(yīng)對(duì)上述這些安全威脅，要從 Apache 服務(wù)器端配置、運(yùn)行環(huán)境、通信鏈路安全保障、安全模塊使用、日志管理等各方面、全方位的進(jìn)行保障，下面將進(jìn)行分門別類的詳細(xì)介紹。

?

Apache 服務(wù)器端安全設(shè)置

?

限制 root 用戶運(yùn)行 Apache 服務(wù)器

一般情況下，在 Linux 下啟動(dòng) Apache 服務(wù)器的進(jìn)程 httpd 需要 root 權(quán)限。由于 root 權(quán)限太大，存在許多潛在的對(duì)系統(tǒng)的安全威脅。一些管理員為了安全的原因，認(rèn)為 httpd 服務(wù)器不可能沒(méi)有安全漏洞，因而更愿意使用普通用戶的權(quán)限來(lái)啟動(dòng)服務(wù)器。http.conf 主配置文件里面有如下 2 個(gè)配置是 Apache 的安全保證，Apache 在啟動(dòng)之后，就將其本身設(shè)置為這兩個(gè)選項(xiàng)設(shè)置的用戶和組權(quán)限進(jìn)行運(yùn)行，這樣就降低了服務(wù)器的危險(xiǎn)性。

      User apache

Group apache
    

?

需要特別指出的是：以上 2 個(gè)配置在主配置文件里面是默認(rèn)選項(xiàng)，當(dāng)采用 root 用戶身份運(yùn)行 httpd 進(jìn)程后，系統(tǒng)將自動(dòng)將該進(jìn)程的用戶組和權(quán)限改為 apache，這樣，httpd 進(jìn)程的權(quán)限就被限制在 apache 用戶和組范圍內(nèi)，因而保證了安全。

?

向客戶端隱藏 Apache 服務(wù)器的相關(guān)信息

Apache 服務(wù)器的版本號(hào)可以作為黑客入侵的重要信息進(jìn)行利用，他們通常在獲得版本號(hào)后，通過(guò)網(wǎng)上搜索針對(duì)該版本服務(wù)器的漏洞，從而使用相應(yīng)的技術(shù)和工具有針對(duì)性的 入侵，這也是滲透測(cè)試的一個(gè)關(guān)鍵步驟。因此，為了避免一些不必要的麻煩和安全隱患，可以通過(guò)主配置文件 httpd.conf 下的如下兩個(gè)選項(xiàng)進(jìn)行：

?

（1）ServerTokens：該選項(xiàng)用于控制服務(wù)器是否響應(yīng)來(lái)自客戶端的請(qǐng)求，向客戶端輸出服務(wù)器系統(tǒng)類型或者相應(yīng)的內(nèi)置模塊等重要信 息。Red Hat Enterprise Linux 5 操作系統(tǒng)在主配置文件中提供全局默認(rèn)控制閾值為 OS，即 ServerTokens OS。它們將向客戶端公開(kāi)操作系統(tǒng)信息和相關(guān)敏感信息，所以保證安全情況下需要在該選項(xiàng)后使用“ProductOnly”，即 ServerTokens ProductOnly。

?

（2）ServerSignature：該選項(xiàng)控制由系統(tǒng)生成的頁(yè)面（錯(cuò)誤信息等）。默認(rèn)情況下為 off，即 ServerSignature off，該情況下不輸出任何頁(yè)面信息。另一情況為 on，即 ServerSignature on，該情況下輸出一行關(guān)于版本號(hào)等相關(guān)信息。安全情況下應(yīng)該將其狀態(tài)設(shè)為 off。

?

圖 1 和圖 2 為安全設(shè)定這兩個(gè)選項(xiàng)前后正常情況下和錯(cuò)誤情況下的輸出頁(yè)面（通過(guò) Rhel5 中的 Mozilla Firefox 瀏覽器訪問(wèn) Rhel5 中的 Apache 服務(wù)器）的詳細(xì)對(duì)比。可以清楚看到，安全設(shè)定選項(xiàng)后，可以充分地向客戶端用戶隱藏 Linux 操作系統(tǒng)信息和 Apache 服務(wù)器版本信息。

圖 1. 錯(cuò)誤情況下未設(shè)定安全選項(xiàng)前示意


圖 2. 操作情況下使用安全設(shè)定后的對(duì)比

設(shè)置虛擬目錄和目錄權(quán)限

要從主目錄以外的其他目錄中進(jìn)行發(fā)布，就必須創(chuàng)建虛擬目錄。虛擬目錄是一個(gè)位于 Apache 的主目錄外的目錄，它不包含在 Apache 的主目錄中，但在訪問(wèn) Web 站點(diǎn)的用戶看來(lái)，它與位于主目錄中的子目錄是一樣的。每個(gè)虛擬目錄都有一個(gè)別名，用戶 Web 瀏覽器中可以通過(guò)此別名來(lái)訪問(wèn)虛擬目錄，如 http:// 服務(wù)器 IP 地址 / 別名 / 文件名，就可以訪問(wèn)虛擬目錄下面的任何文件了。

?

使用 Alias 選項(xiàng)可以創(chuàng)建虛擬目錄。在主配置文件中，Apache 默認(rèn)已經(jīng)創(chuàng)建了兩個(gè)虛擬目錄。這兩條語(yǔ)句分別建立了“/icons/”和“/manual”兩個(gè)虛擬目錄，它們對(duì)應(yīng)的物理路徑分別是“/var/www /icons/”和“/var/www/manual”。在主配置文件中，用戶可以看到如下配置語(yǔ)句：

      Alias /icons/ "/var/www/icons/"

Alias /manual "/var/www/manual"
    

?

在實(shí)際使用過(guò)程中，用戶可以自己創(chuàng)建虛擬目錄。比如，創(chuàng)建名為 /user 的虛擬目錄，它所對(duì)應(yīng)的路徑為上面幾個(gè)例子中常用的 /var/www/html/rhel5：

Alias /test "/var/www/html/rhel5"

?

如果需要對(duì)其進(jìn)行權(quán)限設(shè)置，可以加入如下語(yǔ)句：

      <Directory “/var/www/html/rhel5”> 
	 AllowOverride None 
	 Options Indexes 
	 Order allow,deny 
	 Allow from all 
 </Directory> 
    

?

設(shè)置該虛擬目錄和目錄權(quán)限后，可以使用客戶端瀏覽器進(jìn)行測(cè)試驗(yàn)證，采用別名對(duì)該目錄中的文件進(jìn)行訪問(wèn)，瀏覽結(jié)果如圖 3 所示。

圖 3. 使用虛擬目錄的測(cè)試結(jié)果

?

限制 Apache 服務(wù)的運(yùn)行環(huán)境

Apache 服務(wù)器需要綁定到 80 端口上來(lái)監(jiān)聽(tīng)請(qǐng)求，而 root 是唯一有這種權(quán)限的用戶，隨著攻擊手段和強(qiáng)度的增加，這樣會(huì)使服務(wù)器受到相當(dāng)大的威脅，一但被利用緩沖區(qū)溢出漏洞，就可以控制整個(gè)系統(tǒng)。為了進(jìn)一步提高系 統(tǒng)安全性，Linux 內(nèi)核引入 chroot 機(jī)制，chroot 是內(nèi)核中的一個(gè)系統(tǒng)調(diào)用，軟件可以通過(guò)調(diào)用函數(shù)庫(kù)的 chroot 函數(shù)，來(lái)更改某個(gè)進(jìn)程所能見(jiàn)到的根目錄。

?

chroot 機(jī)制即將某軟件運(yùn)行限制在指定目錄中，保證該軟件只能對(duì)該目錄及其子目錄的文件有所動(dòng)作，從而保證整個(gè)服務(wù)器的安全。在這種情況下，即使出現(xiàn)黑客或者不法 用戶通過(guò)該軟件破壞或被侵入系統(tǒng)，Linux 系統(tǒng)所受的損壞也僅限于該設(shè)定的根目錄，而不會(huì)影響到整個(gè)系統(tǒng)的其他部分。

?

將軟件 chroot 化的一個(gè)問(wèn)題是該軟件運(yùn)行時(shí)需要的所有程序、配置文件和庫(kù)文件都必須事先安裝到 chroot 目錄中，通常稱這個(gè)目錄為 chroot“監(jiān)牢”。如果在“監(jiān)牢”中運(yùn)行 httpd，那么用戶根本看不到 Linux 文件系統(tǒng)中那個(gè)真正的目錄，從而保證了 Linux 系統(tǒng)的安全。

?

在使用該技術(shù)的時(shí)候，一般情況下需要事先創(chuàng)建目錄，并將守護(hù)進(jìn)程的可執(zhí)行文件 httpd 復(fù)制到其中。同時(shí)，由于 httpd 需要幾個(gè)庫(kù)文件，所以需要把 httpd 程序依賴的幾個(gè) lib 文件同時(shí)也拷貝到同一個(gè)目錄下，因此手工完成這一工作是非常麻煩的。幸運(yùn)的是，用戶可以通過(guò)使用開(kāi)源的 jail 軟件包來(lái)幫助簡(jiǎn)化 chroot“監(jiān)牢”建立的過(guò)程，具體步驟如下所示：Jail 官方網(wǎng)站是： http://www.jmcresearch.com/projects/ 。

?

首先將其下載，然后執(zhí)行如下命令進(jìn)行源代碼包的編譯和安裝：

       #tar xzvf jail_1.9a.tar.gz 
 #cd jail/src 
 #make 
    

?

jail 軟件包提供了幾個(gè) Perl 腳本作為其核心命令，包括 mkjailenv、addjailuser 和 addjailsw，他們位于解壓后的目錄 jail/bin 中。這幾個(gè)命令的基本用途如下所示：

• mkjailenv：用于創(chuàng)建 chroot“監(jiān)牢”目錄，并且從真實(shí)文件系統(tǒng)中拷貝基本的軟件環(huán)境。
• addjailsw：用于從真實(shí)文件系統(tǒng)中拷貝二進(jìn)制可執(zhí)行文件及其相關(guān)的其它文件（包括庫(kù)文件、輔助性文件和設(shè)備文件）到該“監(jiān)牢”中。
• addjailuser：創(chuàng)建新的 chroot“監(jiān)牢”用戶。

采用 jail 創(chuàng)建監(jiān)牢的步驟如下所示；

（1）首先需要停止目前運(yùn)行的 httpd 服務(wù)，然后建立 chroot 目錄，命令如下所示。該命令將 chroot 目錄建立在路徑 /root/chroot/httpd 下：

       # service httpd stop 
 # mkjailenv /root/chroot/httpd 
 kjailenv 
 A component of Jail (version 1.9 for linux) 
 http://www.gsyc.inf.uc3m.es/~assman/jail/ 
 Juan M. Casillas <assman@gsyc.inf.uc3m.es> 

 Making chrooted environment into /root/chroot/httpd 
        Doing preinstall() 
        Doing special_devices() 
        Doing gen_template_password() 
        Doing postinstall() 
 Done. 
    

?

（2）為“監(jiān)牢”添加 httpd 程序，命令如下：

       # ./addjailsw  /root/chroot/httpd/ -P /usr/sbin/httpd 

 addjailsw 
 A component of Jail (version 1.9 for linux) 
 http://www.gsyc.inf.uc3m.es/~assman/jail/ 
 Juan M. Casillas <assman@gsyc.inf.uc3m.es> 

 Guessing /usr/sbin/httpd args(0) 
 Warning: can't create /proc/mounts from the /proc filesystem 

 Done. 
    

?

在上述過(guò)程中，用戶不需要在意那些警告信息，因?yàn)?jail 會(huì)調(diào)用 ldd 檢查 httpd 用到的庫(kù)文件。而幾乎所有基于共享庫(kù)的二進(jìn)制可執(zhí)行文件都需要上述的幾個(gè)庫(kù)文件。

?

（3）然后，將 httpd 的相關(guān)文件拷貝到“監(jiān)牢”的相關(guān)目錄中，命令如下所示：

       # mkdir -p /root/chroot/httpd/etc 
 # cp – a /etc/httpd /root/chroot/httpd/etc/ 

    

?

添加后的目錄結(jié)構(gòu)如下所示：

      # ll 
總計(jì) 56 
 drwxr-xr-x 2 root root 4096 03-23 13:44 dev 
 drwxr-xr-x 3 root root 4096 03-23 13:46 etc 
 drwxr-xr-x 2 root root 4096 03-23 13:46 lib 
 drwxr-xr-x 2 root root 4096 03-23 13:46 selinux 
 drwsrwxrwx 2 root root 4096 03-23 13:46 tmp 
 drwxr-xr-x 4 root root 4096 03-23 13:46 usr 
 drwxr-xr-x 3 root root 4096 03-23 13:46 var 
    

?

（4）重新啟動(dòng) httpd，并使用 ps 命令檢查 httpd 進(jìn)程，發(fā)現(xiàn)該進(jìn)程已經(jīng)運(yùn)行在監(jiān)牢中，如下所示：

       # ps -aux | grep httpd 
 Warning: bad syntax, perhaps a bogus '-'? See /usr/share/doc/procps-3.2.7/FAQ 
 root      3546  0.6  0.3   3828  1712 pts/2   S    13:57   0:00 /usr/sbin/nss_pcache off
 /etc/httpd/alias 
 root      3550 14.2  3.6  49388 17788 ?       Rsl  13:57   0:00 /root/chroot/httpd/httpd
 apache    3559  0.2  1.4  49388  6888 ?       S    13:57   0:00 /root/chroot/httpd/httpd
 apache    3560  0.2  1.4  49388  6888 ?       S    13:57   0:00 /root/chroot/httpd/httpd
 apache    3561  0.2  1.4  49388  6888 ?       S    13:57   0:00 /root/chroot/httpd/httpd
 apache    3562  0.2  1.4  49388  6888 ?       S    13:57   0:00 /root/chroot/httpd/httpd
 apache    3563  0.2  1.4  49388  6888 ?       S    13:57   0:00 /root/chroot/httpd/httpd
 apache    3564  0.2  1.4  49388  6888 ?       S    13:57   0:00 /root/chroot/httpd/httpd
 apache    3565  0.2  1.4  49388  6888 ?       S    13:57   0:00 /root/chroot/httpd/httpd
 apache    3566  0.2  1.4  49388  6888 ?       S    13:57   0:00 /root/chroot/httpd/httpd
 root      3568  0.0  0.1   4124   668 pts/2   R+   13:57   0:00 grep httpd 
    

?

啟用 Apache 自帶安全模塊保護(hù)

Apache 的一個(gè)優(yōu)勢(shì)便是其靈活的模塊結(jié)構(gòu)，其設(shè)計(jì)思想也是圍繞模塊（module）概念而展開(kāi)的。安全模塊是 Apache Server 中的極其重要的組成部分。這些安全模塊負(fù)責(zé)提供 Apache server 的訪問(wèn)控制和認(rèn)證，授權(quán)等一系列至關(guān)重要的安全服務(wù)。

?

Apache 下有如下幾類與安全相關(guān)的模塊：

• mod_access 模塊能夠根據(jù)訪問(wèn)者的 IP 地址（或域名，主機(jī)名等）來(lái)控制對(duì) Apache 服務(wù)器的訪問(wèn)，稱之為基于主機(jī)的訪問(wèn)控制。
• mod_auth 模塊用來(lái)控制用戶和組的認(rèn)證授權(quán)（Authentication）。用戶名和口令存于純文本文件中。
• mod_auth_db 和 mod_auth_dbm 模塊則分別將用戶信息（如名稱、組屬和口令等）存于 Berkeley-DB 及 DBM 型的小型數(shù)據(jù)庫(kù)中，便于管理及提高應(yīng)用效率。
• mod_auth_digest 模塊則采用 MD5 數(shù)字簽名的方式來(lái)進(jìn)行用戶的認(rèn)證，但它相應(yīng)的需要客戶端的支持。
• mod_auth_anon 模塊的功能和 mod_auth 的功能類似，只是它允許匿名登錄，將用戶輸入的 E-mail 地址作為口令。
• mod_ssl 被 Apache 用于支持安全套接字層協(xié)議，提供 Internet 上安全交易服務(wù)，如電子商務(wù)中的一項(xiàng)安全措施。通過(guò)對(duì)通信字節(jié)流的加密來(lái)防止敏感信息的泄漏。但是，Apache 的這種支持是建立在對(duì) Apache 的 API 擴(kuò)展來(lái)實(shí)現(xiàn)的，相當(dāng)于一個(gè)外部模塊，通過(guò)與第三方程序（如 openssl）的結(jié)合提供安全的網(wǎng)上交易支持。

為了能夠使用模塊功能，模塊通常以 DSO（Dynamic Shared Object）的方式構(gòu)建，用戶應(yīng)該在 httpd.conf 文件中使用 LoadModule 指令，使得能夠在使用前獲得模塊的功能。如下為主配置文件中各個(gè)模塊的情況，開(kāi)啟安全模塊非常簡(jiǎn)單，即去掉在各安全模塊所在行前的“#”符號(hào)即可，如下所 示：

       LoadModule auth_basic_module modules/mod_auth_basic.so 
 LoadModule auth_digest_module modules/mod_auth_digest.so 
 LoadModule authn_file_module modules/mod_authn_file.so 
 LoadModule authn_alias_module modules/mod_authn_alias.so 
....

    

?

只有將上述安全模塊進(jìn)行開(kāi)啟后 ,Apache 才能實(shí)現(xiàn)相應(yīng)的訪問(wèn)控制和通信加密功能。

?

Apache 訪問(wèn)控制策略設(shè)置

在開(kāi)啟了相應(yīng)的安全模塊后，還需要對(duì) Apache 的訪問(wèn)控制策略進(jìn)行設(shè)定。

?

認(rèn)證和授權(quán)指令

目前，有兩種常見(jiàn)的認(rèn)證類型，基本認(rèn)證和摘要認(rèn)證：

（1）基本認(rèn)證（Basic）：使用最基本的用戶名和密碼方式進(jìn)行用戶認(rèn)證。

（2）摘要認(rèn)證（Digest）：該認(rèn)證方式比基本認(rèn)證要安全得多，在認(rèn)證過(guò)程中額外使用了一個(gè)針對(duì)客戶端的挑戰(zhàn)（challenge）信息，可以有效地避免基本認(rèn)證方式可能遇到的“重放攻擊”。值得注意的是：目前并非所有的瀏覽器都支持摘要認(rèn)證方式。

?

所有的認(rèn)證配置指令既可以出現(xiàn)在主配置文件 httpd.conf 中的 Directory 容器中，也可以出現(xiàn)在單獨(dú)的 .htaccess 文件中，這個(gè)可以由用戶靈活地選擇使用。在認(rèn)證配置過(guò)程中，需要用到如下指令選項(xiàng)：

• AuthName：用于定義受保護(hù)區(qū)域的名稱。
• AuthType：用于指定使用的認(rèn)證方式，包括上面所述的 Basic 和 Digest 兩種方式。
• AuthGroupFile：用于指定認(rèn)證組文件的位置。
• AuthUserFile：用戶指定認(rèn)證口令文件的位置。

使用上述的認(rèn)證指令配置認(rèn)證之后，需要為 Apache 服務(wù)器的訪問(wèn)對(duì)象，也就是指定的用戶和組進(jìn)行相應(yīng)的授權(quán)，以便于他們對(duì) Apache 服務(wù)器提供的目錄和文件進(jìn)行訪問(wèn)。為用戶和組進(jìn)行授權(quán)需要使用 Require 指令，它主要可以使用如下三種方式進(jìn)行授權(quán)：

• 授權(quán)給指定的一個(gè)或者多個(gè)用戶：使用 Require user 用戶名 1 用戶名 2 …。
• 授權(quán)給指定的一個(gè)或者多個(gè)組：使用 Require group 用戶名 1 用戶名 2 …。
• 授權(quán)給指定口令文件中的所有用戶：使用 Require valid-user。

?

管理認(rèn)證口令文件和認(rèn)證組文件

要實(shí)現(xiàn)用戶認(rèn)證功能，首先要建立保存用戶名和口令的文件。Apache 自帶的 htpasswd 命令提供了建立和更新存儲(chǔ)用戶名、密碼的文本文件的功能。需要注意的是，這個(gè)文件必須放在不能被網(wǎng)絡(luò)訪問(wèn)的位置，以避免被下載和信息泄漏。建議將口令文件 放在 /etc/httpd/ 目錄或者其子目錄下。

?

下面的例子在 /etc/httpd 目錄下創(chuàng)建一個(gè)文件名為 passwd_auth 的口令文件，并將用戶 rhel5 添加入認(rèn)證口令文件。使用以下命令建立口令文件（過(guò)程中還會(huì)提示輸入該用戶的口令）：

       # touch passwd_auth 
 # htpasswd -c /etc/httpd/passwd_auth rhel5 
 New password: 
 Re-type new password: 
 Adding password for user rhel5 
    

?

命令執(zhí)行的過(guò)程中系統(tǒng)會(huì)要求用戶為 rhel5 用戶輸入密碼。上述命令中的 -c 選項(xiàng)表示無(wú)論口令文件是否已經(jīng)存在，都會(huì)重新寫入文件并刪去原有內(nèi)容。所以在添加第 2 個(gè)用戶到口令文件時(shí)，就不需要使用 -c 選項(xiàng)了，如下命令所示

      # htpasswd /etc/httpd/passwd_auth testuser 
    

?

認(rèn)證和授權(quán)使用實(shí)例

配置指令

Apache 實(shí)現(xiàn)訪問(wèn)控制的配置指令包括如下三種：

（1）order 指令：用于指定執(zhí)行允許訪問(wèn)控制規(guī)則或者拒絕訪問(wèn)控制規(guī)則的順序。order 只能設(shè)置為 Order allow，deny 或 Order deny，allow，分別用來(lái)表明用戶先設(shè)置允許的訪問(wèn)地址還是先設(shè)置禁止訪問(wèn)的地址。Order 選項(xiàng)用于定義缺省的訪問(wèn)權(quán)限與 Allow 和 Deny 語(yǔ)句的處理順序。Allow 和 Deny 語(yǔ)句可以針對(duì)客戶機(jī)的域名或 IP 地址進(jìn)行設(shè)置，以決定哪些客戶機(jī)能夠訪問(wèn)服務(wù)器。Order 語(yǔ)句設(shè)置的兩種值的具體含義如下：

• allow, deny：缺省禁止所有客戶機(jī)的訪問(wèn)，且 Allow 語(yǔ)句在 Deny 語(yǔ)句之前被匹配。如果某條件既匹配 Deny 語(yǔ)句又匹配 Allow 語(yǔ)句，則 Deny 語(yǔ)句會(huì)起作用（因?yàn)?Deny 語(yǔ)句覆蓋了 Allow 語(yǔ)句）。
• deny, allow：缺省允許所有客戶機(jī)的訪問(wèn)，且 Deny 語(yǔ)句在 Allow 語(yǔ)句之前被匹配。如果某條件既匹配 Deny 語(yǔ)句又匹配 Allow 語(yǔ)句，則 Allow 語(yǔ)句會(huì)起作用（因?yàn)?Allow 語(yǔ)句覆蓋了 Deny 語(yǔ)句）。

（2）allow 指令：指明允許訪問(wèn)的地址或地址序列。如 allow from all 指令表明允許所有 IP 來(lái)的訪問(wèn)請(qǐng)求。

（3）deny 指令：指明禁止訪問(wèn)的地址或地址序列。如 deny from all 指令表明禁止所有 IP 來(lái)的訪問(wèn)請(qǐng)求。

?

應(yīng)用實(shí)例

下面舉幾個(gè)簡(jiǎn)單的例子對(duì)上述 order、allow 和 deny 命令的使用進(jìn)行示范。

?

（1）在下面的例子中，admin.org 域中所有主機(jī)都允許訪問(wèn)網(wǎng)站，而其他非該域中的任何主機(jī)訪問(wèn)都被拒絕，因?yàn)?Deny 在前，Allow 在后，Allow 語(yǔ)句覆蓋了 Deny 語(yǔ)句：

      Order Deny,Allow 
 Deny from all 
 Allow from admin.org 
    

?

（2）下面例子中，admin.org 域中所有主機(jī)，除了 db.admin.org 子域包含的主機(jī)被拒絕訪問(wèn)以外，都允許訪問(wèn)。而所有不在 admin.org 域中的主機(jī)都不允許訪問(wèn)，因?yàn)槿笔顟B(tài)是拒絕對(duì)服務(wù)器的訪問(wèn)（Allow 在前，Deny 在后，Deny 語(yǔ)句覆蓋了 Allow 語(yǔ)句）：

       Order Allow,Deny 
 Allow from admin.org 
 Deny from db.admin.org 
    

?

使用主配置文件配置用戶認(rèn)證及授權(quán)

在本例子中，用戶可以在 Apache 的主配置文件 httpd.conf 中加入以下語(yǔ)句建立對(duì)目錄 /var/www/html/rhel5 訪問(wèn)的用戶認(rèn)證和授權(quán)機(jī)制：

       <Directory "/var/www/html/rhel5"> 
	 AllowOverride None 
 AuthType Basic 
 AuthName "rhel5"
 AuthUserFile /etc/httpd/passwd_auth 
 Require user rhel5 testuser 
 </Directory> 
    

?

在上述例子中，使用了如下指令：

• AllowOverride：該選項(xiàng)定義了不使用 .htaccess 文件。
• AuthType Basic：AuthType 選項(xiàng)定義了對(duì)用戶實(shí)施認(rèn)證的類型，最常用的是由 mod_auth 提供的 Basic。
• AuthName：定義了 Web 瀏覽器顯示輸入用戶 / 密碼對(duì)話框時(shí)的領(lǐng)域內(nèi)容。
• AuthUserFile：定義了口令文件的路徑，即使用 htpasswd 建立的口令文件。
• Require user：定義了允許哪些用戶訪問(wèn)，各用戶之間用空格分開(kāi)。

需要注意的是：在 AuthUserFile 選項(xiàng)定義中，還需要使用如下語(yǔ)句事先建立認(rèn)證用戶 patterson 和 testuser，該選項(xiàng)中的定義才能生效：

       #htpasswd -c /etc/httpd/passwd_auth rhel5 
 #htpasswd /etc/httpd/passwd_auth testuser 
    

?

使用 .htaccess 文件配置用戶認(rèn)證和授權(quán)

在本例子中，為了完成如上述例子同樣的功能，需要先在主配置文件中加入如下語(yǔ)句：

      <Directory “/var/www/html/rhel5”> 
	 AllowOverride AuthConfig 
 </Directory> 
    

?

上述語(yǔ)句中的 AllowOverride 選項(xiàng)允許在 .htaccess 文件中使用認(rèn)證和授權(quán)指令。、、然后，在 .htaccess 文件中添加如下語(yǔ)句即可：

       AuthType Basic 
 AuthName "Please Login:"
 AuthUserFile /etc/httpd/passwd_auth 
 Require user rhel5 testuser、
    

?

同理，在 AuthUserFile 選項(xiàng)定義中，還需要使用如下語(yǔ)句事先建立認(rèn)證用戶 patterson 和 testuser，該選項(xiàng)中的定義才能生效：

      #htpasswd -c /etc/httpd/passwd_auth rhel5

#htpasswd /etc/httpd/passwd_auth testuser
    

?

保證 Apache 服務(wù)通信安全

?

Apache 中 SSL 原理

在 SSL 通信中，首先采用非對(duì)稱加密交換信息，使得服務(wù)器獲得瀏覽器端提供的對(duì)稱加密的密鑰，然后利用該密鑰進(jìn)行通信過(guò)程中信息的加密和解密。為了保證消息在傳遞 過(guò)程中沒(méi)有被篡改，可以加密 Hash 編碼來(lái)確保信息的完整性。服務(wù)器數(shù)字證書主要頒發(fā)給 Web 站點(diǎn)或其他需要安全鑒別的服務(wù)器，證明服務(wù)器的身份信息，同樣客戶端數(shù)字證書用于證明客戶端的身份。

?

使用公用密鑰的方式可以保證數(shù)據(jù)傳輸沒(méi)有問(wèn)題，但如果瀏覽器客戶訪問(wèn)的站點(diǎn)被假冒，這也是一個(gè)嚴(yán)重的安全問(wèn)題。這個(gè)問(wèn)題不屬于加密本身，而是 要保證密鑰本身的正確性問(wèn)題。要保證所獲得的其他站點(diǎn)公用密鑰為其正確的密鑰，而非假冒站點(diǎn)的密鑰，就必須通過(guò)一個(gè)認(rèn)證機(jī)制，能對(duì)站點(diǎn)的密鑰進(jìn)行認(rèn)證。當(dāng) 然即使沒(méi)有經(jīng)過(guò)認(rèn)證，仍然可以保證信息傳輸安全，只是客戶不能確信訪問(wèn)的服務(wù)器沒(méi)有被假冒。如果不是為了提供電子商務(wù)等方面對(duì)安全性要求很高的服務(wù)，一般 不需要如此嚴(yán)格的考慮。

?

下面給出使用 SSL 進(jìn)行通信的過(guò)程（參見(jiàn)圖 4）：

（1）客戶端向服務(wù)器端發(fā)起對(duì)話，協(xié)商傳送加密算法。例如：對(duì)稱加密算法有 DES、RC5，密鑰交換算法有 RSA 和 DH，摘要算法有 MD5 和 SHA。

（2）服務(wù)器向客戶端發(fā)送服務(wù)器數(shù)字證書。比如：使用 DES－RSA－MD5 這對(duì)組合進(jìn)行通信。客戶端可以驗(yàn)證服務(wù)器的身份，決定是否需要建立通信。

（3）客戶端向服務(wù)器傳送本次對(duì)話的密鑰。在檢查服務(wù)器的數(shù)字證書是否正確，通過(guò) CA 機(jī)構(gòu)頒發(fā)的證書驗(yàn)證了服務(wù)器證書的真實(shí)有效性之后，客戶端生成利用服務(wù)器的公鑰加密的本次對(duì)話的密鑰發(fā)送給服務(wù)器。

（4）服務(wù)器用自己的私鑰解密獲取本次通信的密鑰。

（5）雙方的通信正式開(kāi)始。

圖 4. SSL 通信流程示意

在一般情況下，當(dāng)客戶端是保密信息的傳遞者時(shí)，他不需要數(shù)字證書驗(yàn)證自己身份的真實(shí)性，如用戶通常使用的網(wǎng)上銀行交易活動(dòng)，客戶需要將自己的 隱秘信息——賬號(hào)和密碼發(fā)送給銀行，因此銀行的服務(wù)器需要安裝數(shù)字證書來(lái)表明自己身份的有效性，否則將會(huì)使得信息泄露。當(dāng)然，在某些安全性要求極高的 B2B（Business to Business）應(yīng)用，服務(wù)器端也需要對(duì)客戶端的身份進(jìn)行驗(yàn)證，這時(shí)客戶端也需要安裝數(shù)字證書以保證通信時(shí)服務(wù)器可以辨別出客戶端的身份，驗(yàn)證過(guò)程類似 于服務(wù)器身份的驗(yàn)證過(guò)程。另外，在一些電子商務(wù)的應(yīng)用中，可能還會(huì)使用到電子簽名，或者為了信息交換的更加安全，會(huì)增加電子簽名和消息校驗(yàn)碼（MAC）。 而在通常情況下，瀏覽器都會(huì)通過(guò)交互的方式來(lái)完成上述的通信過(guò)程，下面在 Linux 中對(duì) Apache 采用 SSL 也會(huì)作詳細(xì)地介紹。

?

安裝和啟動(dòng) SSL

?

安裝 SSL

雖然 Apache 服務(wù)器不支持 SSL，但 Apache 服務(wù)器有兩個(gè)可以自由使用的支持 SSL 的相關(guān)計(jì)劃，一個(gè)為 Apache-SSL，它集成了 Apache 服務(wù)器和 SSL，另一個(gè)為 Apache+mod_ssl，它是通過(guò)可動(dòng)態(tài)加載的模塊 mod_ssl 來(lái)支持 SSL，其中后一個(gè)是由前一個(gè)分化出的，并由于使用模塊，易用性很好，因此使用范圍更為廣泛。還有一些基于 Apache 并集成了 SSL 能力的商業(yè) Web 服務(wù)器，然而使用這些商業(yè) Web 服務(wù)器主要是北美，這是因?yàn)樵谀抢?SSL 使用的公開(kāi)密鑰的算法具備專利權(quán)，不能用于商業(yè)目的，其他的國(guó)家不必考慮這個(gè)專利問(wèn)題，而可以自由使用 SSL。

?

Apache+mod_ssl 依賴于另外一個(gè)軟件：OpenSSL，它是一個(gè)可以自由使用的 SSL 實(shí)現(xiàn)，首先需要安裝這個(gè)軟件。用戶可以從網(wǎng)站 http://www.openssl.org/source/ 上下載 Linux 下 OpenSSL 的最新穩(wěn)定版本：openssl-1.0.1c.tar.gz。

?

下載源代碼安裝包后，使用如下的步驟安裝即可：

（1）用 openssl-1.0.1c.tar.gz 軟件包安裝 OpenSSL 之前，首先須要對(duì)該軟件包進(jìn)行解壓縮和解包。用以下命令完成軟件包的解壓縮和解包：

#tar xvfz openssl-1.0.1c.tar.gz

（2）解壓縮后，進(jìn)入源碼的目錄 openssl-1.0.1c ，并使用配置腳本進(jìn)行環(huán)境的設(shè)置。相應(yīng)的命令為：

       // 改變當(dāng)前目錄為 openssl-1.0.1c 目錄
 #cd openssl-1.0.1c 				

 // 執(zhí)行該目錄下配置腳本程序
 #./configure 
    

?

（3）在執(zhí)行 ./configure 之后，配置腳本會(huì)自動(dòng)生成 Makefile。如果在設(shè)置的過(guò)程中沒(méi)有任何的錯(cuò)誤，就可以開(kāi)始編譯源碼了。相應(yīng)的命令及其顯示結(jié)果如下：

      #make & make install 
    

?

安裝好 OpenSSL 之后，就可以安裝使用 Apache+mod_ssl 了。然而為了安裝完全正確，需要清除原先安裝的 Apache 服務(wù)器的其他版本，并且還要清除所有的設(shè)置文件及其缺省設(shè)置文件，以避免出現(xiàn)安裝問(wèn)題。最好也刪除 /usr/local/www 目錄（或更名），以便安裝程序能建立正確的初始文檔目錄。如果是一臺(tái)沒(méi)有安裝過(guò) Apache 服務(wù)器的新系統(tǒng)，就可以忽略這個(gè)步驟，而直接安裝 Apache+mod_ssl 了。

?

啟動(dòng)和關(guān)閉 SSL

啟動(dòng)和關(guān)閉該服務(wù)器的命令如下所示：

• #apachectl start：?jiǎn)?dòng) apache。
• #apachectl startssl：?jiǎn)?dòng) apache ssl。
• #apachectl stop：停止 apache。
• #apachectl restart：重新啟動(dòng) apache。
• #apachectl status：顯示 apache 的狀態(tài)。
• #apachectl configtest：測(cè)試 httpd.conf 配置是否正確。
• # /usr/local/sbin/apachectl startssl

此時(shí)使用 start 參數(shù)為僅僅啟動(dòng)普通 Apache 的 httpd 守護(hù)進(jìn)程，而不啟動(dòng)其 SSL 能力，而 startssl 才能啟動(dòng) Apache 的 SSL 能力。如果之前 Apache 的守護(hù)進(jìn)程正在運(yùn)行，便需要使用 stop 參數(shù)先停止服務(wù)器運(yùn)行。

?

為 OpenSSL 產(chǎn)生證書

在采用 OpenSSL 進(jìn)行 Apache 通信加密前，需要先產(chǎn)生與加密相關(guān)的認(rèn)證憑證（也就是證書），如下步驟所示：

       # openssl genrsa -out apache.key 1024 
 Generating RSA private key, 1024 bit long modulus 
 ..........................................++++++ 
 .....................++++++ 
 e is 65537 (0x10001) 

 # openssl req -new -key apache.key -out apache.csr 
 You are about to be asked to enter information that will be incorporated 
 into your certificate request. 
 What you are about to enter is what is called a Distinguished Name or a DN. 
 There are quite a few fields but you can leave some blank 
 For some fields there will be a default value, 
 If you enter '.', the field will be left blank. 
 ----- 
 Country Name (2 letter code) [GB]:CN 
 State or Province Name (full name) [Berkshire]:China  
 Locality Name (eg, city) [Newbury]:Beijing 
 Organization Name (eg, company) [My Company Ltd]:CSO 
 Organizational Unit Name (eg, section) []:CSO 
 Common Name (eg, your name or your server's hostname) []:localhost 
 Email Address []:CSO@ittf.org.cn 

 Please enter the following 'extra' attributes 
 to be sent with your certificate request 
 A challenge password []:apacheserver 
 An optional company name []:apacheserver 

 # openssl x509 -req -days 365 -in apache.csr -signkey apache.key -out apache.crt 
 Signature ok 
 subject=/C=CN/ST=China/L=Beijing/O=CSO/OU=CSO/CN=localhost/emailAddress=CSO@ittf.org.cn 
 Getting Private key 
    

?

經(jīng)過(guò)上述步驟后，將會(huì)產(chǎn)生三個(gè)文件 apache.csr, apache.key 和 apache.crt，然后把這三個(gè)文件拷貝到 /etc/httpd/conf/ca 目錄下即可。

?

然后，就可以啟動(dòng) Mozilla、IE 或其他支持 SSL 的瀏覽器，輸入 URL 為： https://ssl_server/ 來(lái)查看服務(wù)器是否有相應(yīng)，https 使用的缺省端口為 443，如果一切正常，服務(wù)器將會(huì)返回給客戶端證書，由客戶端進(jìn)行驗(yàn)證并且判斷，是否接受該證書并進(jìn)行下一步的通信過(guò)程。

?

下面以 Linux 下的 Mozilla Firefox 瀏覽器為例，來(lái)簡(jiǎn)要說(shuō)明使用 Apache+SSL 服務(wù)器的過(guò)程。首先，圖 5 給出了查看和驗(yàn)證該證書的相關(guān)提示；最后，圖 6 則給出了證書驗(yàn)證成功后，采用 SSL 進(jìn)行保密傳輸?shù)木唧w界面示意：

圖 5. 驗(yàn)證證書示意


圖 6. 證書通過(guò)驗(yàn)證，正常通信開(kāi)始

?

Apache 日志管理

?

日志管理分類

日志文件是用戶管理和監(jiān)控 Apache 安全的非常好的第一手資料，它清晰地記錄了客戶端訪問(wèn) Apache 服務(wù)器資源的每一條記錄，以及在訪問(wèn)中出現(xiàn)的錯(cuò)誤信息，可以這樣說(shuō)，Apache 可以記錄 Web 訪問(wèn)中感興趣的幾乎所有信息。

?

當(dāng)運(yùn)行 Apache 服務(wù)器時(shí)生成 4 個(gè)標(biāo)準(zhǔn)的日志文件：

• 錯(cuò)誤日志
• 訪問(wèn)日志
• 傳輸日志
• Cookie 日志

其中比較常見(jiàn)的是訪問(wèn)日志（access_log）和錯(cuò)誤日志（error_log），其中傳輸日志和 cookie 日志被 Apache 2.0 以上的版本丟棄，所以本文不討論這兩種日志。當(dāng)然，如果使用 SSL 服務(wù)的話，還可能存在 ssl_access_log、ssl_error_log 和 ssl_request_log 三種日志文件。

?

另外，值得注意的是：上述幾種日志文件如果長(zhǎng)度過(guò)大，還可能生成注入 access_log.1，error_log.2 等的額外文件，其格式與含義與上述幾種文件相同，只不過(guò)系統(tǒng)自動(dòng)為其進(jìn)行命名而已。

?

日志相關(guān)的配置指令

Apache 中提供如下 4 條與日志相關(guān)的配置指令：

• ErrorLog 指令：用于指定錯(cuò)誤日志的存放路徑，使用語(yǔ)法為：ErrorLog 文件名；
• LogLevel：用于指定錯(cuò)誤日志的錯(cuò)誤登記，使用語(yǔ)法為：Loglevel 等級(jí)；
• LogFormat：用于為日志記錄格式命名，使用語(yǔ)法為：LogFormat 記錄格式說(shuō)明字符串 格式稱謂；
• CustomLog：用于指定訪問(wèn)日志存放路徑和記錄格式，指定訪問(wèn)日志由指定的程序生成并指定日志的記錄格式，使用語(yǔ)法為：CustomLog 日志文件名 格式稱謂。

在上述幾個(gè)文件當(dāng)中，除了 error_log 和 ssl_error_log 之外，所有日志文件以由 CustomLog 和 LogFormat 指令指定的格式生成。這些指令在 httpd.conf 文件中出現(xiàn)。使用 LogFormat 指令可以定義新的日志文件格式：

      LogFormat “%h  %l  %u  %t  \ “%> %s %b “common 
    

?

假定使用的是 common 日志格式或者 combined 日志格式，這兩種格式都在默認(rèn)的配置文件中定義。表 1 列出了 LogFormat 語(yǔ)句可以使用的變量：

表 1. LogFormat 語(yǔ)句的變量

變 量 含 義

%b	發(fā)送字節(jié)，不包括 HTTP 標(biāo)題
%f	文件名
%{VARIABLE}e	環(huán)境變量 VARIABLE 的內(nèi)容
%h	遠(yuǎn)程主機(jī)
%a	遠(yuǎn)程 IP 地址
%{HEADER}i	HEADER 內(nèi)容；發(fā)送到服務(wù)器的請(qǐng)求的標(biāo)題行
%l	遠(yuǎn)程登錄名（如果提供該值，則從 identd 獲得）
%{NOTE}n	來(lái)自另一個(gè)模塊的 NOTE 通知的內(nèi)容
%{HEADER}o	HEADER 的內(nèi)容，回復(fù)中的標(biāo)題行
%p	服務(wù)器服務(wù)于請(qǐng)求的規(guī)范端口
%P	服務(wù)于請(qǐng)求的子進(jìn)程的 ID
%r	請(qǐng)求的第一行
%s	狀態(tài)。對(duì)于內(nèi)部重定向的請(qǐng)求，該狀態(tài)為初始請(qǐng)求—最后是 %>s
%t	時(shí)間，格式為 common 日志格式中的時(shí)間格式
%{format}t	時(shí)間，格式由 format 給出。可以是 strftime（3）格式
%T	服務(wù)請(qǐng)求花費(fèi)的時(shí)間，以秒計(jì)
%u	來(lái)自 auth 的遠(yuǎn)程用戶；如果返回的狀態(tài)（%s）為 401 則可能是假的
%U	請(qǐng)求的 URL 路徑
%v	服務(wù)于該請(qǐng)求的服務(wù)器的規(guī)范 ServerName

在每個(gè)變量中，可以在前面設(shè)置一個(gè)條件，決定是否顯示該變量。如果不顯示，則顯示 -。這些條件是數(shù)值返回值列表的形式。另外，還可以使用 CustomLog 指令指定日志文件的位置和格式。如果沒(méi)有指定日志文件的絕對(duì)路徑，則日志文件的位置假定為相對(duì)于 ServerRoot。下面是 httpd.conf 文件中指定日志文件的語(yǔ)句：

       // 
 // The location and format of the access logfile（Common Logfile Format）. 
 // If you do not define any access logfiles within a <VirtualHost> 
 // container, they will be logged here.  Contrariwise, if you *do* 
 // define per-<VirtualHost> access logfiles, transactions will be 
 // logged therein and *not* in this file. 
 // 
 CustomLog logs/access_log common 

 ErrorLog logs/error_log 
    

?

日志記錄等級(jí)和分類

?

一般說(shuō)來(lái)，Apache 中的錯(cuò)誤日志記錄等級(jí)有如表 2 所示的八類：

?

表 2. 錯(cuò)誤日志記錄的等級(jí)

緊急性 等級(jí) 解釋

1	Emerg	出現(xiàn)緊急狀況使得系統(tǒng)不可用
2	Alert	需要立即引起注意的狀況
3	Crit	危險(xiǎn)情況的警告
4	Error	除上述 3 種情況之外的其他錯(cuò)誤
5	Warn	警告信息
6	Notice	需要引起注意的情況，不如第 4 和第 5 類重要
7	Info	需要報(bào)告的一般消息
8	Debug	運(yùn)行于 debug 模式的程序產(chǎn)生的消息

另外，在 Apache 中，將訪問(wèn)日志分為如下 4 類：

• 普通日志格式（common log format，CLF）：大多數(shù)日志分析軟件都支持這種格式，其在 LogFormat 指定中定義的昵稱為 common；
• 參考日志格式（referer log format）：記錄客戶訪問(wèn)站點(diǎn)的用戶身份，其在 LogFormat 指定中定義的昵稱為 referer；
• 代理日志格式（agent log format）：記錄請(qǐng)求的用戶代理，其在 LogFormat 指定中定義的昵稱為 agent；
• 綜合日志格式（combined log format）：即結(jié)合上述三種格式的日志信息，其在 LogFormat 指定中定義的昵稱為 combined。

在實(shí)際的使用過(guò)程中，由于綜合日志格式有效地結(jié)合了其他 3 種日志格式和信息，所以在配制訪問(wèn)日志時(shí)，可以有

?

兩種方式：

（1）分別使用 3 個(gè)文件進(jìn)行分別記錄，相應(yīng)配置示例如下：

       LogFormat “%h %l %u %t \ “%r\” %>s %b” common 
 LogFormat “%{Referer}i->%U” referer 
 LogFormat “%{Apache User-agent}i” agent 
 CustomLog logs/access_log common 
 CustomLog logs/referer_log referer 
 CustomLog logs/agent_log agent 
    

?

（2）使用一個(gè)綜合文件進(jìn)行記錄，相應(yīng)配置示例如下：

      LogFormat “%h %l %u %t \ “%r\” %>s %b \”%{Referer}i\” \ 
  “%{Apache User-Agent}i\””combined
CustomLog logs/access_log combined
    

?

參考資料

學(xué)習(xí)

• 訪問(wèn) Apache 官方網(wǎng)站 ，了解 Apache 開(kāi)源項(xiàng)目的相關(guān)知識(shí)、進(jìn)展和動(dòng)態(tài)。
  
  
• 下載 Apache Web 服務(wù)器 ，進(jìn)行實(shí)際安裝和學(xué)習(xí)。
  
  
• 學(xué)習(xí) change root 工具 ，進(jìn)行 Apache 安全運(yùn)行環(huán)境設(shè)置演練。
  
  
• 閱讀書籍： Apache security:The complete guide to securing your Apache web server ，系統(tǒng)學(xué)習(xí) Apache 安全方面的更多知識(shí)。
  
  
• 參考書籍： Apache server administrator's handbook ，學(xué)習(xí)更多 Apache 服務(wù)安全管理方面的知識(shí)。
  
  
• 下載最新版本的 OpenSSL ，安裝并設(shè)置證書，進(jìn)行數(shù)據(jù)通信安全保障方面的實(shí)戰(zhàn)演練。
  
  
• 在 developerWorks Linux 專區(qū) 尋找為 Linux 開(kāi)發(fā)人員（包括 Linux 新手入門 ）準(zhǔn)備的更多參考資料，查閱我們 最受歡迎的文章和教程 。
  
  
• 在 developerWorks 上查閱所有 Linux 技巧 和 Linux 教程 。
  
  
• 隨時(shí)關(guān)注 developerWorks 技術(shù)活動(dòng) 和 網(wǎng)絡(luò)廣播 。
  
  

討論

• 加入 developerWorks 中文社區(qū) ，developerWorks 社區(qū)是一個(gè)面向全球 IT 專業(yè)人員，可以提供博客、書簽、wiki、群組、聯(lián)系、共享和協(xié)作等社區(qū)功能的專業(yè)社交網(wǎng)絡(luò)社區(qū)。
  
  
• 加入 IBM 軟件下載與技術(shù)交流群組 ，參與在線交流。

?

?