Tomcat服務器安全設置第3/3頁

更新時間：2009年08月01日 15:54:19 作者：

tomcat是一個開源Web服務器，基于Tomcat的Web運行效率高，可以在一般的硬件平臺上流暢運行，因此，頗受Web站長的青睞。不過，在默認配置下其存在一定的安全隱患，可被惡意攻擊。

(3).禁止列表

　　我們知道在IIS中如果設置不當，就會列出Web當前目錄中的所有文件，在Tomcat也不例外。如果瀏覽者可以在客戶端瀏覽Web目錄，那將會存在較大的安全隱患，因此我們要確認Tomcat的設置中禁止列目錄。設置文件是web.xml，也在conf目錄下。用記事本打開該文件，搜索init-param在其附近找到類似如下字段：　　

<init-param>
<param-name>listings</param-name>
<param-value>false</param-value>
</init-param>　　
　　確認是false而不是true。(圖9)

(4).用戶管理

　　Tomcat的后臺管理員為admin并且默認為空密碼，安全期間我們需要修改該默認的用戶名并為其設置健壯的密碼。其配置文件為tomcat-users.xml，用記事本打開該文件然后進行修改。其中role標簽表示其權(quán)限，manager說明是管理員權(quán)限;user標簽表示后臺管理用戶，可以看到用戶名為admin，我們可以將其修改為一個陌生的用戶;可以看到password后面為空密碼，我們可以為其設置一個復雜的密碼。最后修改配置完成的tomcat-users.xml文件為：　
<?xml version='1.0' encoding='utf-8'?>
<tomcat-users>
  <role rolename="manager"/>
  <role rolename="admin"/>
  <user username="gslw" password="test168" roles="admin,manager"/>
</tomcat-users>
　　(圖10)

(5).錯誤頁面

　　Tomcat不像IIS提供了各種類型的錯誤頁，如果Tomcat發(fā)生錯誤就會顯示千篇一律的錯誤頁面。其實我們可以通過修改其配置文件，從而自定義設置其錯誤頁面的顯示。打開web.xml文件，在最后一行的之前添加如下的語句：　　
<error-page>
      <error-code>401</error-code>
      <location>/401.htm</location>
   </error-page>
   <error-page>
      <error-code>404</error-code>
      <location>/404.htm</location>
   </error-page>
   <error-page>
      <error-code>500</error-code>
      <location>/500.htm</location>
   </error-page>

　　當然，僅僅設置這樣的語句還不行，需要創(chuàng)建相應的401.htm、404.htm、500.htm這樣的文件才行。另外，要把錯誤頁面文件放到webapps\manager目錄中，否則需要在web.xml中指定其路徑，最后的效果如圖11所示。(圖11)