设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15789] 2020-08-29_等保2.0涉及的ApacheTomcat中间件（ ...
返回列表 发新帖
查看: 0|回复: 0

[15789] 2020-08-29_等保2.0涉及的ApacheTomcat中间件（上）

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-08-29_等保2.0涉及的ApacheTomcat中间件（上） 等 保 2 . 0 涉 及 的 A p a c h e   T o m c a t 中 间 件 （ 上 ） 等 保 不 好 做 啊   F r e e B u f   2 0 2 0 - 0 8 - 2 9 这 里 就 谈 谈 等 保 2 . 0 要 求 ， 对 应 到 A p a c h e   T o m c a t 中 间 件 的 一 些 条 款 要 求 。 安 装 步 骤 略 过 ， 我 们 直 接 看 等 保 中 涉 及 的 一 些 参 数 。 首 先 ， 做 测 评 的 时 候 我 们 先 要 记 录 相 应 的 软 件 版 本 ： 查 看 版 本 ， 在 t o m c a t 目 录 下 执 行 / b i n / c a t a l i n a . s h   v e r s i o n ， 可 查 看 对 应 的 软 件 版 本 信 息 这 是 前 期 的 资 产 情 况 ， 记 录 在 系 统 构 成 中 。 然 后 ， 再 根 据 等 保 的 对 应 的 每 条 条 款 ， 确 认 到 中 间 件 中 应 该 如 何 查 询 。 一 、 身 份 鉴 别 一 、 身 份 鉴 别 a ） 应 对 登 录 的 用 户 进 行 身 份 标 识 和 鉴 别 ， 身 份 标 识 具 有 唯 一 性 ， 身 份 鉴 别 信 息 具 有 复 杂 度 要 求 并 定 期 更 换 ） 应 对 登 录 的 用 户 进 行 身 份 标 识 和 鉴 别 ， 身 份 标 识 具 有 唯 一 性 ， 身 份 鉴 别 信 息 具 有 复 杂 度 要 求 并 定 期 更 换 首 先 针 对 身 份 鉴 别 这 个 控 制 点 ， 如 果 A p a c h e   T o m c a t 开 启 了 管 理 控 制 台 ， 则 此 控 制 点 需 要 进 行 测 评 ， 否 则 为 不 适 用 。 1 . 确 认 是 否 使 用 了 确 认 是 否 使 用 了 t o m c a t 管 理 后 台 管 理 后 台 我 们 先 找 到 配 置 文 件 ： t o m c a t 主 目 录 下 / c o n f / s e r v e r . x m l 可 以 查 看 到 连 接 端 口 ， 默 认 为 8 0 8 0 然 后 查 看 m a n a g e r - g u i 管 理 页 面 配 置 文 件 ， 是 否 设 置 了 用 户 登 录 配 置 文 件 ： t o m c a t 主 目 录 下 / c o n f / t o m c a t - u s e r s . x m l
如 果 有 类 似 的 如 上 语 句 则 代 表 存 在 用 户 当 前 我 们 还 要 查 看 t o m c a t 主 目 录 下 / w e b a p p s 目 录 ， 观 察 是 否 存 在 m a n a g e r 这 个 文 件 然 后 访 问 ， 默 认 界 面 为 ： 点 击 访 问 即 可
2 . 访 问 访 问 M a n a g e r   A P P 报 错 报 错 4 0 3 错 误 解 决 方 案 错 误 解 决 方 案 当 第 一 次 安 装 、 配 置 环 境 的 时 候 ， 可 能 会 出 现 如 下 报 错 网 上 许 多 网 上 找 许 多 都 是 说 没 有 配 置 账 号 和 密 码 ， 需 要 在 t o m c a t   的 c o n f 中 的 t o m c a t - u s e r . x m l 中 增 加 账 户 、 密 码 、 权 限 ， 但 是 这 只 是 第 一 步 。 重 启 t o m c a t 以 后 可 以 在 虚 拟 机 内 使 用 m a n a g e r   a p p ， 但 是 虚 拟 机 外 不 行 。 这 是 因 为 t o m c a t 进 行 了 i p 限 制 ， 还 需 要 将 限 制 取 消 掉 。 将 t o m c a t 文 件 夹 下 的 w e b a p p s / m a n a g e r / M E T A - I N F / c o n t e x t . x m l 文 件 夹 的 以 下 内 容 注 销 掉 < C o n t e x t   a n t i R e s o u r c e L o c k i n g = " f a l s e "   p r i v i l e g e d = " t r u e "   > < ! - -   < V a l v e   c l a s s N a m e = " o r g . a p a c h e . c a t a l i n a . v a l v e s . R e m o t e A d d r V a l v e "   a l l o w = " 1 2 7 . d + . d + . d + | : : 1 | 0 : 0 : 0 : 0 : 0 : 0 : 0 : 1 "   / >   - - > < / C o n t e x t >
然 后 重 启 服 务 ， 再 访 问 即 可 3 . 修 改 默 认 欢 迎 界 面 修 改 默 认 欢 迎 界 面 因 为 在 客 户 实 际 环 境 中 ， 很 多 情 况 下 访 问 默 认 都 不 是 t o m c a t 默 认 界 面 ， 在 这 种 情 况 下 我 们 如 何 进 入 该 控 制 台 呢 ？ 3 . 1   创 建 一 个 网 站 创 建 一 个 网 站 类 似 于 a p a c h e 之 于 / v a r / w w w / h t m l / ， n g i n x 之 于 / u s r / s h a r e / n g i n x / h t m l / ， t o m c a t 同 样 有 自 己 对 应 的 网 页 目 录 ， 一 般 就 是 根 目 录 + w e b a p p s / ， 在 本 机 上 就 是   / u s r / l o c a l / t o m c a t / w e b a p p s / 我 们 创 建 一 个 叫 t e s t 的 项 目 ， 同 时 在 t e s t 目 录 下 建 立 W E B - I N F / c l a s s e s 和 W E B - I N F / l i b 文 件 夹 m k d i r   - p   / u s r / l o c a l / t o m c a t / w e b a p p s / t e s t / W E B - I N F { c l a s s e s , l i b } o k ， 可 以 在 t e s t 目 录 下 写 下 第 一 个 J s p 网 页 了 （ 注 ： 和 a p a c h e 和 n g i n x 不 同 ， t o m c a t 默 认 支 持 J s p ， 因 此 无 需 再 安 装 J s p ） v i m   / u s r / l o c a l / t o m c a t / w e b a p p s / t e s t / i n d e x . j s p
3 . 2   修 改 修 改 s e r v e r . x m l 文 件 文 件 找 到 下 图 中 的 字 段 ： 在 前 插 入 ： p a t h ： 代 表 虚 拟 目 录 的 名 字 ， 如 果 你 只 要 输 入 i p 地 址 就 显 示 主 页 ， 则 该 键 值 留 为 空 ； d o c B a s e ： 它 指 定 的 是 登 录 t o m c a t 默 认 的 主 页 所 在 的 文 件 夹 ， 这 个 量 默 认 情 况 下 指 定 的 是   R O O T 文 件 夹 ， 新 建 一 个 t e s t 文 件 夹 ， 把 网 页 放 到 该 文 件 夹 内 ， 需 要 有 一 个 h t m l 或   者 j s p 文 件 ， 在 W e b . x m l 文 件 中 有 指 定 ， 会 按 照 顺 序 去 寻 找 对 应 的 文 件 。 d e b u g 和 和 r e l o a d a b l e ： 一 般 设 置 成 0 和 t r u e 就 行 了 ， 在 项 目 编 写 和 测 试 阶 段 r e l o a d a b l e 设 置 为   t r u e 表 示 只 要 t o m c a t 中 的 项 目 有 改 动 t o m c a t 就 会 自 动 重 新 加 载 编 译 ， 可 以 带 给 我 们 一 些 方 便 ， 但 是 在 项 目 发 布 阶 段 一 般 设 为 f a l s e ， 可 以 提 高 t o m c a t 的 性 能 。
这 样 我 们 的 默 认 界 面 就 弄 好 了 ， 直 接 访 问 将 是 你 设 置 好 的 网 页 。 3 . 3   无 默 认 界 面 情 况 下 直 接 访 问 无 默 认 界 面 情 况 下 直 接 访 问 m a n a g e r   a p p 我 们 直 接 再 后 面 加 后 缀 / m a n a g e r （ 或 者 / m a n a g e r / h t m l ） 即 可 4 .   等 保 查 看 点 等 保 查 看 点 当 用 户 使 用 了 t o m c a t 管 理 控 制 台 时 ， 针 对 身 份 鉴 别 a ） 条 款 ， 检 查 t o m c a t 目 录 下 / c o n f / t o m c a t - u s e r . x m l 文 件
查 看 用 户 口 令 是 否 具 有 复 杂 度 ， 查 看 p a s s w o r d 字 段 即 可 ， 一 般 要 求 由 大 写 字 母 、 小 写 字 母 、 数 字 、 特 殊 符 号 中 的 三 种 组 成 ， 长 度 8 位 以 上 ， 然 后 定 期 修 改 ， 这 个 好 像 没 啥 证 据 ， 只 能 询 问 管 理 人 员 。 然 后 针 对 用 户 的 标 识 唯 一 性 这 里 我 进 行 了 测 试 ， 你 在 配 置 文 件 下 直 接 写 两 个 同 名 用 户 是 ， 没 有 问 题 的 ， 但 是 在 登 录 的 时 候 ， 他 好 像 只 会 匹 配 最 下 面 的 那 个 用 户 。 比 如 上 图 ， 我 有 两 个 账 户 均 为 t o m c a t ， 但 是 口 令 不 一 样 ， 实 际 登 录 的 时 候 ， 使 用 t o m c a t 口 令 的 那 个 账 户 无 法 登 录 ， 只 能 使 用 口 令 为 1 2 3 4 5 6 的 账 户 登 录 。 所 以 这 个 不 太 清 楚 ， 但 是 一 般 客 户 也 不 会 设 两 个 同 名 用 户 吧 ， 关 于 用 户 标 识 唯 一 性 ， 账 户 不 同 名 就 行 了 。 b ） 应 具 有 登 录 失 败 处 理 功 能 ， 应 配 置 并 启 用 结 束 会 话 、 限 制 非 法 登 录 次 数 和 当 登 录 连 接 超 时 自 动 退 出 等 相 关 措 ） 应 具 有 登 录 失 败 处 理 功 能 ， 应 配 置 并 启 用 结 束 会 话 、 限 制 非 法 登 录 次 数 和 当 登 录 连 接 超 时 自 动 退 出 等 相 关 措 施 施 关 于 这 个 测 评 项 ， 就 是 要 求 一 个 登 录 失 败 处 理 功 能 和 操 作 超 时 自 动 退 出 的 功 能 。 1 . 登 录 失 败 处 理 功 能 登 录 失 败 处 理 功 能 t o m c a t 管 理 控 制 台 默 认 拥 有 登 录 失 败 处 理 功 能 。 经 过 我 自 己 的 测 试 ， 默 认 情 况 下 ： 登 录 失 败 5 次 ， 锁 定 1 0 分 钟 。 不 过 不 清 楚 不 同 的 版 本 是 不 是 一 样 的 。 然 后 他 也 有 自 己 的 配 置 文 件 ： t o m c a t 目 录 / c o n f / s e r v e r . x m l 下 配 置 查 看 对 应 的 f a i l u r e C o u n t （ 次 ） ， l o c k O u t T i m e （ 秒 ） 值 ， 可 自 行 编 辑
如 上 图 ， 代 表 失 败 3 次 ， 锁 定 3 0 0 秒 。 2 . 操 作 超 时 值 操 作 超 时 值 这 个 的 要 求 应 该 是 多 少 时 间 不 操 作 了 ， 他 能 自 动 登 录 ， 重 新 进 行 身 份 鉴 别 ， 类 似 屏 幕 保 护 功 能 网 上 查 了 很 多 相 关 资 料 ， 都 是 说 查 看 c o n n e c t i o n T i m e o u t 值 这 个 我 测 试 了 一 下 ， 挂 着 不 操 作 好 像 不 会 自 动 退 出 ， 所 以 不 清 楚 这 个 功 能 怎 么 实 现 ， 有 清 楚 的 可 以 留 言 教 我 一 下 。 c ） 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 ） 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 这 条 我 觉 得 直 接 观 察 t o m c a t 后 台 的 访 问 方 式 即 可 ， 是 使 用 h t t p 还 是 h t t p s 的 。 d ） 应 采 用 口 令 、 密 码 技 术 、 生 物 技 术 等 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别 ， 且 其 中 一 种 鉴 别 ） 应 采 用 口 令 、 密 码 技 术 、 生 物 技 术 等 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别 ， 且 其 中 一 种 鉴 别 技 术 至 少 应 使 用 密 码 技 术 来 实 现 技 术 至 少 应 使 用 密 码 技 术 来 实 现 这 条 我 不 知 道 实 现 方 式 是 啥 ， 不 过 一 般 不 会 有 人 去 做 吧 。 。 。 直 接 现 场 观 察 验 证 即 可 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:21 , Processed in 0.818416 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表