Osiguravanje Apache poslužitelja na CentOS 6

Lako je koristiti prečace kada osiguravate poslužitelj, ali riskirate gubitak podataka u slučaju da napadač dobije root pristup bilo kojem od vaših poslužitelja. Čak i za jednostavne instalacije, morate unaprijed osigurati svoj poslužitelj. Osiguravanje poslužitelja je široka tema i varira ovisno o OS-u i aplikacijama koje se na njima pokreću.

Ovaj vodič se fokusira na osiguranje Apachea pod CentOS-om 6. Postoji nekoliko koraka nakon instalacije koje možete poduzeti kako biste se zaštitili od eskalacije privilegija, kao i od napada s nedovoljno privilegiranih.

Bez daljnjega, krenimo.

Korak 1 - Instaliranje web poslužitelja

Naravno, ako nemate instaliran Apache ili PHP, trebali biste to učiniti sada. Izvršite ovu naredbu kao root korisnik ili upotrijebite sudo:

yum install httpd php

Korak 2 - Osiguravanje vaših kućnih imenika

Sada kada je Apache instaliran, idemo naprijed i počnimo ga osiguravati. Prvo, želimo biti sigurni da direktorije drugih korisnika ne mogu vidjeti nitko osim vlasnika. Mi ćemo chmodirati sve matične direktorije na 700, tako da samo odgovarajući vlasnici kućnih direktorija mogu vidjeti svoje datoteke. Pokrenite ovu naredbu kao root ili upotrijebite sudo:

chmod 700 /home
chmod 700 /home/*
chmod 700 /home/*/*

Korištenjem zamjenskih znakova pokrivamo sve datoteke koje se trenutno nalaze u početnom direktoriju.

Korak 3 - Primijenite sigurnosnu zakrpu na Apache radi odvajanja privilegija korisnika

Prije nego što zakrpimo Apache, prvo moramo instalirati spremište koje sadrži paket s zakrpom. Pokrenite sljedeće naredbe kao root (ili sudo).

yum install epel-release
yum install httpd-itk

Pomoću "apache2-mpm-itk" možemo odrediti koji korisnik PHP treba pokrenuti na temelju virtualnog hosta. Dodaje novu opciju konfiguracije AssignUserId virtualhost-user virtualhost-user-groupkoja nam omogućuje da kažemo Apacheu/PHP-u da izvrši korisnički kod pod određenim korisničkim računom.

Ako dijelite ovaj poslužitelj, pretpostavljam da ste već prije stvorili virtualni host za Apache. U tom slučaju možete preskočiti na korak 4.

Korak 3 - Stvaranje vašeg prvog virtualnog hosta

Možete slijediti predložak u nastavku kako biste stvorili virtualni host u Apacheu.

NameVirtualHost mytest.website

<VirtualHost mytest.website>

DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
</VirtualHost>

Otvorite svoj omiljeni uređivač teksta /etc/httpd/conf.d/example-virtualhost.confi zatim u njega dodajte gornji sadržaj. Evo naredbe za korištenje nano:

nano /etc/httpd/conf.d/example-virtualhost.conf

Dopustite mi da ovdje objasnim konfiguraciju. Kada navedemo "NameVirtualHost", zapravo govorimo web poslužitelju da hostiramo više domena na jednoj IP adresi . Sada, u ovom primjeru, koristio sam mytest.websitekao primjer domene. Promijenite to u svoju ili domenu po svom izboru. DocumentRootje ono što govori Apacheu gdje se sadržaj nalazi. ServerNameje direktiva koju koristimo da kažemo Apacheu domenu web-mjesta. I posljednja oznaka, </VirtualHost>, koja govori Apacheu da je kraj konfiguracije virtualnog hosta.

Korak 4 - Konfiguriranje Apachea da radi kao drugi korisnik

Kao što je ranije spomenuto, dio osiguranja vašeg poslužitelja uključuje pokretanje Apache/PHP-a kao zasebnog korisnika za svaki virtualni host. Reći Apacheu da to učini jednostavno je nakon što smo primijenili zakrpu - sve što trebate učiniti je dodati:

AssignUserId vhost-user vhost-user-group

... prema vašoj konfiguraciji. Evo kako bi primjer virtualnog hosta izgledao nakon što smo dodali ovu opciju:

NameVirtualHost mytest.website

<VirtualHost mytest.website>

DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
AssignUserId vhost-user vhost-user-group

</VirtualHost>

Magija je u redu koji počinje s AssignUserId. Ovom opcijom govorimo Apache/PHP-u da se pokrene kao sljedeći korisnik/grupa.

Korak 5 - Skrivanje Apacheove verzije

Ovaj korak je prilično jednostavan; samo otvorite Apacheovu konfiguracijsku datoteku izvršavanjem sljedeće naredbe kao root korisnik:

nano /etc/httpd/conf/httpd.conf

Pronađite "ServerTokens" i promijenite opciju iza njega u "ProductOnly". To govori Apacheu da otkrije samo da je "Apache", umjesto "Apache/2.2" ili nešto slično.

Korak 6 - Ponovno pokretanje Apachea za primjenu promjena

Sada kada smo osigurali poslužitelj, moramo ponovno pokrenuti Apache poslužitelj. Učinite to pokretanjem sljedeće naredbe kao root ili pomoću sudo:

service httpd restart

Zaključak

Ovo je samo nekoliko koraka koje možete poduzeti kako biste osigurali svoj poslužitelj. Još jednom, čak i ako netko u koga imate povjerenja hostira web stranicu na vašem poslužitelju, trebali biste je planirati zaštititi. U gore navedenim scenarijima, čak i ako je korisnički račun ugrožen, napadač neće dobiti pristup cijelom poslužitelju.