linux系统apache虚拟主机,防御基础配置

开始学着折腾Apache的了,至于这个web应用程序的安装之类的,也没有出教程的必要,我只是想验证一下Apache在网站防御方面的功能。现在看起来,它确实功能强大,而且还体现在了拥有众多的模块,我相信大多数人除了使用Apache之外,就没有深入去玩了,我也是如此。所以在网上查询了资料后,决定做一个统一的整理,就是Apache比较基础的网站防御策略,可以很轻松的抵御各类不算强大的攻击。
感兴趣的可以根据这篇文章试试,应该是很有帮助的,主要的测试系统为linux,CentOS6.8。
本文章内容包括:

1.安装Apache mod_evasive的防御模块,并进行简单设置
2.配置X-Frame-Options请求头,限制Frame页面嵌套
3.安装配置mod_qos防御模板,进行CC攻击和采集防御设置

教程开始

DDOS攻击防御

mod_evasive
对于Apache下DDOS的防御,可以用到mod_evasive这个模块,这个工具在抵御基于请求的DoS攻击或脚本化方面非常出色,如果与防火墙或IP过滤器集成,mod_evasive甚至可以经受大型攻击。我参考官方的说明文档,只以Apache2.X为例进行设置,如果是1.X的版本
(网上大部分安装教程都已经失效,这是根据Github上项目的翻译重新进行整理)

【安装教程】

1.从github下载上传到服务器后,解压并进入mod_evasive目录,执行

Apache的安装目录/bin/apxs –c –i -a mod_evasive20.c

方便起见,可以不按上述操作方法,直接通过yum安装,不过不排除可能版本不是最新的可能。

yum install mod_evasive

2.查看http.conf,也就是Apache的主要配置文件,发现以下一行则代表成功引入,记得重启一下Apache。

LoadModule evasive20_module modules/mod_evasive20.so

3.然后就可以在规则配置文件,其实就是伪静态文件里开始配置了,范例如下。

<IfModule mod_evasive20.c>
    DOSHashTableSize 3097
    DOSPageCount 2
    DOSSiteCount 50
    DOSPageInterval 1
    DOSSiteInterval 1
    DOSBlockingPeriod 10
</ IfModule>

4.上述参数的详细说明,官方给出了整理,我进行了简单翻译。

DOSHashTableSize 3097 记录和存放黑名单的哈希表大小,可以根据访问量的大小进行修改提升
DOSPageCount 5 在限制时间内,单个ip的访问次数,时间范围在DOSPageInterval中设置。
DOSSiteCount 50 同ip用户在限制时间内可以打开的页面数,时间范围在DOSSiteInterval中设置。
DOSPageInterval 2 设置DOSPageCount中时间长度,默认值为1。
DOSSiteInterval 2 设置DOSSiteCount中时间长度。
DOSBlockingPeriod 10 对检测到攻击ip的封禁时间,这期间该ip的访问会提示404。

还有几个可以选的参数。

DOSEmailNotify you@yourdomain.com  被攻击后的通知邮箱
DOSSystemCommand“su - someuser -c'/sbin/...%s ...'”  被攻击后执行自定义的系统命令
DOSLogDir“/var/lock/mod_evasive”   攻击日志的存放目录

限制请求头

X-Frame-Options

其实这个不算是木马的真正防御,但是可以抵消被挂马后的一部分效果,一般来说,如果网站被挂马,页面上可能出现很多由js生成的Frame嵌套,那么通过简单的设置之后,可以让这些页面嵌套无法加载,从而让木马无法通过嵌套发送信息,或者收集用户信息。同时,网站可以使用此功能,来确保自己网站的内容没有被嵌到别人的网站中去,也从而避免了点击劫持 (clickjacking) 的攻击。

开启很简单,windows下是httpd.conf,liunx下是apache2.conf,根据实际情况为准,直接编辑该文件,在空行处添加以下代码。

Header always append X-Frame-Options SAMEORIGIN

最后的值有三种选择:

DENY --- 表示该页面不允许在 frame 中展示,即便是在相同域名的页面中嵌套也不允许。
SAMEORIGIN --- 表示该页面可以在相同域名页面的 frame 中展示。
ALLOW-FROM https://example.com/ --- 表示该页面可以在指定来源的 frame 中展示。

CC攻击和防止采集

mod_qos

这个模块配置起来很复杂,网上的教程也是似懂非懂,都不详细,或者说很多都是好几年前的了,比较过时。它的功能很强大,比如防止采集之类的也可以很容易做到。就算因为服务器有硬防而不适用mod_evasive,但是mod_qos仍旧是必要的选择。

【安装教程】

1.从官网下载源代码(最好是最新的,我只是随意拿了现在最新的版本),并解压出来。

wget --no-check-certificate https://jaist.dl.sourceforge.net/project/mod-qos/mod_qos-11.61.tar.gz
tar -xzvf mod_qos-11.61.tar.gz

2.进入目录,开始安装。

cd mod_qos-11.61
Apache安装目录/bin/apxs -i -c mod_qos.c

3.安装完成后,配置httpd.conf,加入一条,然后重启Apache

LoadModule qos_module   modules/mod_qos.so

4.最后就可以编辑qos.conf设置想要的防御参数了,官方的说明地址是:点击进入,配置完成后,在httpd.conf通过Include conf/qos.conf就可以导入。注意,配置的复杂度极高,建议认真看,看不懂我也没办法了,我提供个简单的参考,这个配置只利用了不到百分之十的功能

/# 处理多达100000个不同IP的连接
QS_ClientEntries 100000
/# 每个IP仅允许50个连接
QS_SrvMaxConnPerIP 50
/# 活动TCP连接的最大数目限制为256
MaxClients 256
/# 当180(70%)TCP连接被占用时禁用保持活动
QS_SrvMaxConnClose 180
/# 最小请求/响应速度(拒绝低速客户端阻止服务器,保持连接打开而不请求任何内容)
QS_SrvMinDataRate 150 1200
#最低请求/响应速度(上传/下载)
#(拒绝缓慢客户端阻止服务器,保持连接打开而不请求任何东西)
#接收请求数据(请求行,标题字段或正文),发送响应数据(标题字段,正文)
QS_SrvMinDataRate 1024
#禁用某些客户端的连接限制:
QS_SrvMaxConnExcludeIP                     172.18.3.32
QS_SrvMaxConnExcludeIP                     192.168.10

教程就到这里了,希望给一些用Apache的朋友帮助,原本我是打算做个单纯的整理,但是却发现网上的教程很多都过时了,容易产生很大的误导性,比如源码的下载和安装方式早已因为官方更新而改变,或者相关的配置对于现在而言会报错之类的。所以,自己折腾着竟然也弄完了。
【规则之树版权所有,转载注明来源】

发表评论
加载中...

相关文章