تأمين خادم Apache على CentOS 6

• الخطوة 1 - تثبيت خادم الويب
• الخطوة 2 - تأمين أدلة منزلك
• الخطوة 3 - تطبيق تصحيح أمان على Apache لفصل امتيازات المستخدم
• الخطوة 3 - إنشاء أول مضيف افتراضي
• الخطوة 4 - تكوين أباتشي للتشغيل كمستخدم آخر
• الخطوة 5 - إخفاء نسخة أباتشي
• الخطوة 6 - إعادة تشغيل Apache لتطبيق التغييرات
• استنتاج

من السهل اتخاذ اختصارات عند تأمين الخادم ، ولكنك ستخاطر بفقدان البيانات في حالة حصول مهاجم على وصول جذري إلى أي من خوادمك. حتى بالنسبة للتثبيتات البسيطة ، تحتاج إلى تأمين الخادم الخاص بك مسبقًا. يعد تأمين الخوادم موضوعًا واسعًا ، ويختلف باختلاف نظام التشغيل والتطبيقات التي يتم تشغيلها عليها.

يركز هذا البرنامج التعليمي على تأمين Apache بموجب CentOS 6. هناك بعض خطوات ما بعد التثبيت التي يمكنك اتخاذها لحماية نفسك من تصعيد الامتيازات ، بالإضافة إلى الهجمات غير المحظوظة.

بدون مزيد من اللغط ، دعنا نبدأ.

الخطوة 1 - تثبيت خادم الويب

بالطبع ، إذا لم يكن لديك Apache أو PHP مثبتًا ، فعليك القيام بذلك الآن. قم بتنفيذ هذا الأمر كمستخدم أساسي ، أو استخدم sudo:

yum install httpd php

الخطوة 2 - تأمين أدلة منزلك

الآن بعد تثبيت Apache ، دعنا نبدأ ونبدأ في تأمينه. أولاً ، نريد التأكد من أن أدلة المستخدمين الآخرين غير مرئية من قبل أي شخص باستثناء المالك. سنقوم بتضمين كل دلائل المنزل إلى 700 ، بحيث يمكن لمالكي دلائل المنزل فقط عرض ملفاتهم الخاصة. قم بتشغيل هذا الأمر كجذر ، أو استخدم sudo:

chmod 700 /home
chmod 700 /home/*
chmod 700 /home/*/*

باستخدام أحرف البدل ، نحن نغطي جميع الملفات الموجودة حاليًا في الدليل الرئيسي.

الخطوة 3 - تطبيق تصحيح أمان على Apache لفصل امتيازات المستخدم

قبل تصحيح Apache ، نحتاج أولاً إلى تثبيت المستودع الذي يحتوي على الحزمة مع التصحيح. قم بتشغيل الأوامر التالية كجذر (أو sudo).

yum install epel-release
yum install httpd-itk

باستخدام "apache2-mpm-itk" ، يمكننا معرفة المستخدم PHP الذي يجب تشغيله بناءً على المضيف الظاهري. يضيف خيار تكوين جديد AssignUserId virtualhost-user virtualhost-user-group، والذي يسمح لنا بإخبار Apache / PHP بتنفيذ رمز المستخدم تحت حساب مستخدم معين.

إذا كنت تشارك هذا الخادم ، أفترض أنك أنشأت بالفعل مضيفًا افتراضيًا لـ Apache من قبل. في هذه الحالة ، يمكنك التخطي إلى الخطوة 4.

الخطوة 3 - إنشاء أول مضيف افتراضي

يمكنك اتباع النموذج أدناه لإنشاء مضيف افتراضي في Apache.

NameVirtualHost mytest.website

<VirtualHost mytest.website>

DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
</VirtualHost>

افتح محرر النصوص المفضل لديك /etc/httpd/conf.d/example-virtualhost.confثم أضف المحتوى أعلاه إليه. إليك أمر استخدام nano:

nano /etc/httpd/conf.d/example-virtualhost.conf

دعني اشرح التكوين هنا. عندما نحدد "NameVirtualHost" ، فإننا في الواقع نخبر خادم الويب بأننا نستضيف نطاقات متعددة على عنوان IP واحد . الآن ، في هذا المثال ، استخدمته mytest.websiteكمثال نطاق. قم بتغيير ذلك إلى نطاقك أو مجال تختاره. DocumentRootهو ما يخبر أباتشي بمكان المحتوى. ServerNameهو توجيه نستخدمه لإخبار Apache عن نطاق موقع الويب. وعلامة أخيرة </VirtualHost>، والتي تخبر أباتشي أن نهاية تكوين المضيف الظاهري.

الخطوة 4 - تكوين أباتشي للتشغيل كمستخدم آخر

كما ذكرنا سابقًا ، يتضمن جزء من تأمين الخادم الخاص بك تشغيل Apache / PHP كمستخدم منفصل لكل مضيف افتراضي. إخبار Apache للقيام بذلك أمر بسيط بعد تطبيق التصحيح - كل ما عليك فعله هو إضافة:

AssignUserId vhost-user vhost-user-group

... لتهيئتك. إليك ما سيبدو عليه مثال المضيف الظاهري بعد إضافة هذا الخيار:

NameVirtualHost mytest.website

<VirtualHost mytest.website>

DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
AssignUserId vhost-user vhost-user-group

</VirtualHost>

السحر في السطر يبدأ AssignUserId. باستخدام هذا الخيار ، نطلب من Apache / PHP أن يعمل كمستخدم / مجموعة التالية.

الخطوة 5 - إخفاء نسخة أباتشي

هذه الخطوة بسيطة للغاية. ما عليك سوى فتح ملف تكوين Apache بتنفيذ الأمر التالي كمستخدم أساسي:

nano /etc/httpd/conf/httpd.conf

ابحث عن "ServerTokens" وقم بتغيير الخيار بعده إلى "ProductOnly". هذا يخبر أباتشي أن يكشف فقط أنه "أباتشي" ، بدلاً من "أباتشي / 2.2" أو شيء مشابه.

الخطوة 6 - إعادة تشغيل Apache لتطبيق التغييرات

الآن بعد أن قمنا بتأمين الخادم ، يجب علينا إعادة تشغيل خادم Apache. قم بذلك عن طريق تشغيل الأمر التالي كجذر أو مع sudo:

service httpd restart

استنتاج

هذه ليست سوى خطوات قليلة يمكنك اتخاذها لتأمين الخادم الخاص بك. مرة أخرى ، حتى إذا كان شخص تثق به يستضيف موقع ويب على خادمك ، يجب أن تخطط لحمايته. في السيناريوهات أعلاه ، حتى لو تم اختراق حساب مستخدم ، فلن يتمكن المهاجم من الوصول إلى الخادم بالكامل.