jboss安全优化方案_.doc

JBOSS安全性优化1. 方案背景 本方案主要是描述JBOSS安全性的优化方案；由于JBoss 的缺省配置并不限制管理控制台的访问权，远程攻击者可以通过直接请求来略过认证，获取管理访问权，因此，攻击者可以更改机器的配置。攻击者也可以获取关于服务器机器的敏感信息，从而进一步攻击站点。可以收集的信息如下：主机名、主机地址、处理器的相关信息、操作系统名称和版本、作业目录的物理路径，以及许多其他信息。因此通过本方案来限制对JBOSS 管理控制台的访问及禁用WebDAV，或者禁止不需要的HTTP 方法等操作进行处理。2. JBOSS安全性优化详细方案2.1. 限制对JBOSS 管理控制台的访问以jboss-5.1.0.GA为例，进行admin console配置：2.1.1. admin-console配置1. 在jboss-5.1.0.GAserverdefaultdeployadmin-console.warWEB- INF路径下1) 找到jboss-web.xml文件， 去掉该文件中 java:/jaas/jmx-console的注释2. 在jboss-5.1.0.GAserverdefaultconf路径下1) 在login-config.xml中去掉 .的注释 则： props/perties props/perties 3. 在jboss-5.1.0.GAserverdefaultconfprops目录下1) 找到perties文件，如图 配置信息为：登录账号=登录密码（注：修改初始账号和密码）2) 对perties文件一般不需要修改，如图 配置信息为：登录账号=所属的角色信息（多个角色，以“，”分隔开）2.1.2. jmx-console配置1. 在jboss-5.1.0.GAserverdefaultdeployjmx-console.warWEB-INF路径下1) 找到jboss-web.xml文件， 去掉该文件中 java:/jaas/jmx-console的注释2) 找到web.xml 文件，去掉该文件中 .的注释 则为： HtmlAdaptor An example security config that only allows users with the role JBossAdmin to access the HTML JMX console web application /* GET POST JBossAdmin 的注释2. 在jboss-5.1.0.GAserverdefaultconf路径下1) 在login-config.xml中去掉 .的 注释 则： props/perties props/perties 3. 在jboss-5.1.0.GAserverdefaultconfprops目录下1) 找到perties文件，如图 配置信息为：登录账号=登录密码（注：修改初始账号和密码）2) 对perties文件一般不需要修改，如图 配置信息为：登录账号=所属的角色信息（多个角色，以“，”分隔开）2.1.3. web-console配置1. jboss-5.1.0.GAserverdefaultdeploymanagementconsole-mgr.sarweb-console.warWEB-INF路径下1) 找到jboss-web.xml文件， 去掉其文件中的java:/jaas/web-console的注释2) 找到web.xml文件， 去掉其文件中的.的注释则为： HtmlAdaptor An example security config that only allows users with the role JBossAdmin to access the HTML JMX console web application /* GET POST JBossAdmin 的注释2. 在jboss-5.1.0.GAserverdefaultconf路径下1) 找到login-config.xml文件，去掉其文件中 .的 注释 则为： props/web-console- perties props/web-console- perties 3. 在jboss-5.1.0.GAserverdefaultconfprops目录下1) 根据perties文件格式创建perties文件，如图 配置信息为：登录账号=登录密码（注：配置账号和密码）2) 根据perties文件格式创建perties文件，如图 配置信息为：登录账号=所属的角色信息（多个角色，以“，”分隔开）2.2. 网络安全禁用不安全的HTTP方法1. 不安全的http方法介绍 OPTIONS方法的主要用途有两个：1) 获取服务器支持的HTTP请求方法；也是黑客经常使用的方法。2) 用来检查服务器的性能。 PUT方法通常用于向服务器发送请求，如果URI不存在，则要求服务器根据请求创建资源，如果存在，服务器就接受请求内容，并修改URI资源的原始版本。就是通常俗称的上传资源。 Delete方法就是通过http请求删除指定的URL上的资源，这样一些黑客就可以对服务器上的资源做删除操作。 TRACE方法是用来调试web服务器连接的HTTP方式。支持该方式的服务器存在跨站脚本漏洞，攻击者可以利用此漏洞欺骗合法用户并得到他们的私人信息。 HEAD方法可以用来获取请求中隐含的元信息，而不用传输实体本身。也经常用来测试超链接的有效性、可用性和最近的修改。本次的测试是IBM Rational AppScan这款安全测试工具测试，附件是对此工具使用前的配制2. 项目通过IBM Rational AppScan（网络安全测试工具）软件测试，在测试报告中如果出现如下图1内容，此时说明该项目没有禁用不安全的HTTP方法，此时要对项目做如下配制： 图11) 在工程WebRootWEB-INF目录下在web.xml文件中添加如下内容 HtmlAdaptor An example security config that only allows users with the role JBossAdmin to access the HTML JMX console web application /* OPTIONS HEAD DELETE PUT TRACE JBossAdmin *注意：中的内容就是要要禁用的HTTP的方法3. 项目通过IBM Rational AppScan（网络安全测试工具）软件测试，在测试报告中如果出现如下图2内容，此时说明JBOSS本身没有禁用不安全的HTTP方法，此时要对JBOSS做如下配制：图21） 在jboss-5.1.0.GAserverdefaultdeployROOT.warWEB-INF目录下在web.xml文件中添加如下内容 HtmlAdaptor An example security config that only allows users with the role JBossAdmin to access the HTML JMX console web application /* OPTIONS HEAD DELETE PUT TRACE JBossAdmin *注意：中的内容就是要要禁用的HTTP的方法3. TOMCAT安全性优化详细方案3.1. Tomcat下禁用webDAV的请求在tomcat 的web.xml配制文件的下加入如下内容D:ProgramFilesapache-tomcat-6.0.32confweb.xml /* PUT DELETE HEAD OPTIONS TRACE BASIC 3.2. 密码泄露安全漏洞项目通过IBM Rational AppScan（网络安全测试工具）软件测试，在测试报告中如果出现如下图2内容，说明应用存在密码泄露安全漏洞。图2解决漏洞的方法，把应用改成https访问方式。步骤： 一、 生成key解压到C盘cmd下进入C:OpenSSLbin下执行如下命令*自己要设置key的密码，修改下面密码位置。1) openssl genrsa -out cakey.pem 10242) openssl req -new -out careq.csr -key cakey.pem3) openssl x509 -req -in careq.csr -out cacert.pem -signkey cakey.pem -days 36504) keytool -genkey -alias tomcat_server -keyalg RSA -keysize 1024 -validity 1825 -keypass 密码 -keystore tomcatkey.jks storepass 密码5) keytool -certreq -alias tomcat_server -sigalg MD5withRSA -file certreq.cer -keypass密码 -keystore tomcatkey.jks -storepass 密码6) openssl ca -keyfile cakey.pem -cert cacert.pem -in certreq.cer -out tomcatcert.pem -config f -policy policy_anything7) openssl x509 -in cacert.pem -out cacert.cer8) openssl x509 -in tomcatcert.pem -out tomcatcert.cer9) keytool -keystore tomcatkey.jks -import -alias RootCA -file cacert.cer10) keytool -keystore tomcatkey.jks -import -alias tomcat_server -file tomcatcert.cer二、 修改tomcat的配制文件修改%TOMCATE_HOME%/conf/server.xml，这样就开启的https访问应用，此时应用可以以http和https两种方工登录应用。