关于APACHE两个安全漏洞设置

轩静天

当前APACHE版本情况如下：
$ httpd -v
Server version: Apache/2.0.55
Server built:   May 18 2006 17:39:25

目前存在两个漏洞：
1.目录遍历漏洞
  当客户端发送访问一个特定目录而不是一个文件的请求时，WEB服务器可能响应，检索目录列表，并将检索信息反馈给客户端.
2.HTTP报头协议追踪漏洞
  支持TRACE/TRACK WEB服务器HTTP连接方式调节功能。当该调试功能开启时，包含敏感信息的HTTP报头可能被恶意人员追踪截获。

请教各位大侠,这两个漏洞如何修补,万分感谢.

ruochen

原帖由 轩静天 于 2009-8-19 15:21 发表
当前APACHE版本情况如下：
$ httpd -v
Server version: Apache/2.0.55
Server built:   May 18 2006 17:39:25

目前存在两个漏洞：
1.目录遍历漏洞
  当客户端发送访问一个特定目录而不是一个文件的请求 ...

apache的版本很旧呀
没有与时俱进的升级？

塌了胃

第一个：可以试试在httpd.conf中对特定的目录进行访问设置，屏蔽目录索引，或是用URL重写规则，对该目录的访问进行重定向。
第二个：对这个方面的认识我也没有了解过，所以我也不知道。帖主知道了，麻烦告知一下哦。:wink:

轩静天

在httpd.conf将Directory域按如下配置，重启服务后，目前测试达到预期效果，分享一下，谢谢。

DocumentRoot "/opt/apache/html"
<Directory "/opt/apache/html">
AllowOverride None
<Limit POST GET>
    Options Includes
    Order allow,deny
    Allow from all
   </Limit>
   <LimitExcept POST GET>
   Order allow,deny
   deny from all
   </LimitExcept>
</Directory>
<Directory />
    Options FollowSymLinks
    AllowOverride None
</Directory>

ruochen

原帖由 轩静天 于 2009-8-20 00:52 发表
在httpd.conf将Directory域按如下配置，重启服务后，目前测试达到预期效果，分享一下，谢谢。

DocumentRoot "/opt/apache/html"

AllowOverride None

    Options Includes
    Order allow,deny
  ...

谢谢分享

h101com

支持下!

LnBSD

原帖由 轩静天 于 2009-8-19 15:21 发表
当前APACHE版本情况如下：
$ httpd -v
Server version: Apache/2.0.55
Server built:   May 18 2006 17:39:25

目前存在两个漏洞：
1.目录遍历漏洞
  当客户端发送访问一个特定目录而不是一个文件的请求 ...

2 TraceEnable Off

llzqq

我还在用apache-1.3.x