Sichern eines Apache-Servers unter CentOS 6

• Schritt 1 - Installieren des Webservers
• Schritt 2 - Sichern Sie Ihre Home-Verzeichnisse
• Schritt 3 - Wenden Sie einen Sicherheitspatch auf Apache an, um Benutzerrechte zu trennen
• Schritt 3 - Erstellen Sie Ihren ersten virtuellen Host
• Schritt 4 - Konfigurieren von Apache für die Ausführung als anderer Benutzer
• Schritt 5 - Apaches Version ausblenden
• Schritt 6 - Starten Sie Apache neu, um die Änderungen zu übernehmen
• Fazit

Es ist einfach, beim Sichern eines Servers Verknüpfungen zu verwenden, aber Sie riskieren Datenverlust, falls ein Angreifer Root-Zugriff auf einen Ihrer Server erhält. Selbst für einfache Installationen müssen Sie Ihren Server vorher sichern. Das Sichern von Servern ist ein weit gefasstes Thema und hängt vom Betriebssystem und den darauf ausgeführten Anwendungen ab.

Dieses Tutorial konzentriert sich auf die Sicherung von Apache unter CentOS 6. Nach der Installation können Sie einige Schritte ausführen, um sich vor einer Eskalation von Berechtigungen sowie vor Angriffen mit unterprivilegierten Rechten zu schützen.

Lassen Sie uns ohne weiteres loslegen.

Schritt 1 - Installieren des Webservers

Wenn Sie Apache oder PHP nicht installiert haben, sollten Sie dies jetzt tun. Führen Sie diesen Befehl als Root-Benutzer aus oder verwenden Sie sudo:

yum install httpd php

Schritt 2 - Sichern Sie Ihre Home-Verzeichnisse

Nachdem Apache installiert ist, können Sie mit der Sicherung beginnen. Zunächst möchten wir sicherstellen, dass die Verzeichnisse anderer Benutzer nur für den Eigentümer sichtbar sind. Wir ändern alle Home-Verzeichnisse auf 700, sodass nur die jeweiligen Eigentümer der Home-Verzeichnisse ihre eigenen Dateien anzeigen können. Führen Sie diesen Befehl als root aus oder verwenden Sie sudo:

chmod 700 /home
chmod 700 /home/*
chmod 700 /home/*/*

Durch die Verwendung von Platzhaltern decken wir alle Dateien ab, die sich derzeit im Ausgangsverzeichnis befinden.

Schritt 3 - Wenden Sie einen Sicherheitspatch auf Apache an, um Benutzerrechte zu trennen

Bevor wir Apache patchen, müssen wir zuerst das Repository installieren, das das Paket mit dem Patch enthält. Führen Sie die folgenden Befehle als root (oder sudo) aus.

yum install epel-release
yum install httpd-itk

Mit "apache2-mpm-itk" können wir basierend auf dem virtuellen Host festlegen, welcher Benutzer PHP ausgeführt werden soll. Es wird eine neue Konfigurationsoption hinzugefügt AssignUserId virtualhost-user virtualhost-user-group, mit der wir Apache / PHP anweisen können, Benutzercode unter einem bestimmten Benutzerkonto auszuführen.

Wenn Sie diesen Server freigeben, haben Sie vermutlich bereits zuvor einen virtuellen Host für Apache erstellt. In diesem Fall können Sie mit Schritt 4 fortfahren.

Schritt 3 - Erstellen Sie Ihren ersten virtuellen Host

Sie können der folgenden Vorlage folgen, um einen virtuellen Host in Apache zu erstellen.

NameVirtualHost mytest.website

<VirtualHost mytest.website>

DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
</VirtualHost>

Öffnen Sie Ihren bevorzugten Texteditor /etc/httpd/conf.d/example-virtualhost.confund fügen Sie den obigen Inhalt hinzu. Hier ist der Befehl zur Verwendung von Nano:

nano /etc/httpd/conf.d/example-virtualhost.conf

Lassen Sie mich die Konfiguration hier erklären. Wenn wir "NameVirtualHost" angeben, teilen wir dem Webserver tatsächlich mit, dass wir mehrere Domains auf einer IP hosten . In diesem Beispiel habe ich mytest.websiteals Beispieldomäne verwendet. Ändern Sie dies in Ihre oder eine Domain Ihrer Wahl. DocumentRootteilt Apache mit, wo sich der Inhalt befindet. ServerNameist eine Anweisung, mit der wir Apache die Domain der Website mitteilen. Und noch ein letztes Tag, </VirtualHost>das Apache mitteilt, dass die Konfiguration des virtuellen Hosts beendet ist.

Schritt 4 - Konfigurieren von Apache für die Ausführung als anderer Benutzer

Wie bereits erwähnt, gehört zum Sichern Ihres Servers das Ausführen von Apache / PHP als separater Benutzer für jeden virtuellen Host. Apache dazu aufzufordern ist einfach, nachdem wir den Patch angewendet haben. Alles, was Sie tun müssen, ist hinzuzufügen:

AssignUserId vhost-user vhost-user-group

... zu Ihrer Konfiguration. So würde der virtuelle Beispielhost aussehen, nachdem wir diese Option hinzugefügt haben:

NameVirtualHost mytest.website

<VirtualHost mytest.website>

DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
AssignUserId vhost-user vhost-user-group

</VirtualHost>

Die Magie ist in der Linie beginnend mit AssignUserId. Mit dieser Option weisen wir Apache / PHP an, als der folgende Benutzer / die folgende Gruppe ausgeführt zu werden.

Schritt 5 - Apaches Version ausblenden

Dieser Schritt ist recht einfach; Öffnen Sie einfach die Konfigurationsdatei von Apache, indem Sie den folgenden Befehl als Root-Benutzer ausführen:

nano /etc/httpd/conf/httpd.conf

Suchen Sie nach "ServerTokens" und ändern Sie die Option danach in "ProductOnly". Dies weist Apache an, nur anzugeben, dass es sich um "Apache" handelt, anstatt um "Apache / 2.2" oder ähnliches.

Schritt 6 - Starten Sie Apache neu, um die Änderungen zu übernehmen

Nachdem wir den Server gesichert haben, müssen wir den Apache-Server neu starten. Führen Sie dazu den folgenden Befehl als root oder mit sudo aus:

service httpd restart

Fazit

Dies sind nur einige Schritte, die Sie zur Sicherung Ihres Servers ausführen können. Auch wenn jemand, dem Sie vertrauen, eine Website auf Ihrem Server hostet, sollten Sie planen, diese zu schützen. In den obigen Szenarien hat der Angreifer selbst dann keinen Zugriff auf den gesamten Server, wenn ein Benutzerkonto gefährdet ist.