1. AutoIndex
?
預設安裝好 Apache 之后，其預設目錄是在 /var/www/html/，如果沒有設定 index.html 的話，那么就會印出目前目錄里的所有檔案和目錄，基於安全理由，希望把 AutoIndex 這個取消，如此在別人打入網址后，就會出現 403 的存取權限不足，只有在很“明確”的指出檔案時才可以瀏覽。
?
關閉 /var/www/html 里（含子目錄）的自動印出首頁功能
[root@rhel conf]# vi httpd.conf
_______________________________
<Directory "/var/www/html">
#把 Options Indexes FollowSymLinks 注解起來
#Options Indexes FollowSymLinks
#修改成只剩 FollowSymLinks
Options FollowSymLinks
AllowOverride None
Order allow,deny
Allow from all
</Directory>
_______________________________
[root@rhel conf]#
?
注意：
如果你是從Windows轉過來Ubuntu的話，可能都會有一個疑問，為什么在Ubuntu上找不到httpd.conf檔哩?? 因為Ubuntu上根本就不用httpd.conf這個名稱了。
?
在裝好Apache2之后，Apache2的設定檔會存放在 /etc/apache2 ，里面有一個apache2.conf檔是整個Apache2的設定 檔，一般來說是不用去動它的，如果要調設定的話，是要到 /etc/apache2/sites-available 里去調的，預設的網站是調 /etc /apache2/sites-available/default 這個檔的，而這個檔就等同是httpd.conf，只是命名方式不同而已哩!!
?
/etc/apache2/sites-available和/etc/apache2/sites-enabled有什么不同?沒有不同，只要是在sites-available有用a2ensite指令啟用的虛擬主機，就會在sites-enabled建立一個連結。
?
重新啟動 httpd
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
?
或者：
// Apache
//Task: Start Apache 2 Server /啟動apache服務
# /etc/init.d/apache2 start
//or
$ sudo /etc/init.d/apache2 start
//Task: Restart Apache 2 Server /重啟apache服務
# /etc/init.d/apache2 restart
//or
$ sudo /etc/init.d/apache2 restart
//Task: Stop Apache 2 Server /停止apache服務
# /etc/init.d/apache2 stop
//or
$ sudo /etc/init.d/apache2 stop
// Mysql
/etc/init.d/mysql start
/etc/init.d/mysql stop
/etc/init.d/mysql restart
?
// httpd是Apache超文本傳輸協議(HTTP)服務器的主程序。被設計為一個獨立運行的后臺進程，它會建立一個處理請求的子進程或線程的池。
// 通常，httpd不應該被直接調用，而應該在類Unix系統中由 apachectl 調用
// man apache2 中介紹
// apache2 is the Apache HyperText Transfer Protocol (HTTP) server program.
// It is designed to be run as a standalone daemon process. When used like
// this it will create a pool of child processes or threads to handle requests.
// In general, apache2 should not be invoked directly,
// but rather should be invoked via /etc/init.d/apache2 or apache2ctl.
// The default Debian config-uration requires environment variables
// that are defined in /etc/apache2/envvars and are not available if apache2 is started directly.
// However,apache2ctl can be used to pass arbitrary arguments to apache2.
//
// apache2ctl = apache2 ConTroL
//
apache2ctl -restart
apache2ctl -stop
apache2ctl -t
// 詳細見 man apache2
?
2. 虛擬目錄
?
一般特別重要或有特別作用的目錄，會放在 /var/www/html 之外的其它目錄，比方說現在 /file/download/ 目錄，要在使用者打入 http://www.abc.com.tw/download/ 時，可以自動對應到 /file/download/ 這個目錄，就好像是在 /var/www/html 里面一樣，這時我們可以使用 alias 的方式做出一個虛擬目錄，使用 Alias 就可以辦得到了。
[root@rhel conf]# vi httpd.conf
_______________________________
Alias /download/ "/file/download/"
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
?
注意：Alias 語法為 Alias {target} {source} ，在 {target} 的描述中（以 download），如果打了一個 "/" 符號，那么使用者在輸入網址時只能是 http://www.abc.com.tw/download / 后面就要多帶一個 "/"，否則會出現 404 的找不到檔案錯誤。
?
3. ServerName 的設定
?
其實 ServerName 在大部份的情況下可以不設定，但是如果有做重新導向的話，那么如果這個值不存在，Apache 在啟動時會以 127.0.0.1 來做預設的 ServerName。因此等到有預到重新導向的情況時，就會出現問題。要更正這個問題，只要加入一個 ServerName 的值就可以了。
[root@rhel conf]# vi httpd.conf
_______________________________
ServerName www.abc.com.tw
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
?
4. 修改預設目錄
?
Apache 安裝好之后，預設全是在 /var/www/html 里面，如果要修改這個目錄，只要修改 DocumentRoot 就可以了。
[root@rhel conf]# vi httpd.conf
_______________________________
DocumentRoot "/project/web"
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
?
5. 預設聆聽埠
?
Apache 安裝之后，會聆聽 80 的標準 http 埠，但是當這臺 http 有特別功用時，可能會修改其 Port，要修改 Port，只要修改 Listen 這個值就可以了。
[root@rhel conf]# vi httpd.conf
_______________________________
Listen 8080
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
?
注意：修改預設的聆聽埠，如果在 Firewall 沒有允許連入的情況下會出現連線不到的情形，所以在修改完之后還必需檢查 firewall 是否允許。
?
6. 保護你的目錄資料 - 密碼驗證
?
是否想過，某些特別的目錄，只有特別的人才可以進去，但又不想再設定 / 加裝其它的功能，這時候就 Apache 可以提供你一個登入帳號密碼的機制，只有通過的人才可以看到這“特別”的地區。
?
要編輯的檔案：
?
- /etc/httpd/conf/httpd.conf (以 Redhat 為列)
- .htaccess (設定檔)
- .htpasswd (帳號 / 密碼檔)
首先，要使用這個認證機制，就要允許可以做 AuthConfig，比方說我要對 http://www.abc.com.tw/secure_data/ 這個 URL 做認證，那么就需要使用到 AuthConfig
[root@rhel conf]# vi /etc/httpd/conf/httpd.conf
_______________________________________
# 做 Alias 到 /home/secure_data/
Alias "/secure_data" "/home/secure_data"
<Directory "/home/secure_data">
# 允許做 AuthConfig 的設定
AllowOverride AuthConfig
</Directory>
_______________________________________
#重新啟動 Apache
[root@rhel secure_data]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel secure_data]#
?
接下來，在 /home/secure_data/ 建立一個 .htaccess
[root@rhel conf]# cd /home/secure_data; touch .htaccess; vi .htaccess
________________________________________
AuthName "ABC Secure Area"
AuthType Basic
# 指定帳號密碼檔的位置
AuthUserFile "/home/http_auth_users/.htpasswd"
require valid-user
?
最后一步，就是建立一個帳號密碼檔啦！承於本篇的忠旨－安全理由，所以千萬不要把帳號 / 密碼檔這種高度敏感的檔案放到 Public 的區域，尤其是可經由 http、ftp 等方式可取得的管道。本篇我們裝放在 /home/http_auth_user/.htpasswd 里。
[root@rhel conf]# mkdir /home/http_auth_users; cd /home/http_auth_users; touch .htpasswd
?
檔案建立好了，再來如何建立使用者呢？這時候就必需使用 htpasswd 這個指令來幫我們完成了！
htpasswd 說明：
htpasswd -{option} {passwd_file} {user}
option 可使用：
- -m 使用 MD5 編碼
- -c 建立新的密碼檔
- -b 附帶有 "密碼" (不用再輸入一次密碼)
建立 steven 的帳號密碼：
[root@mailgw http_auth_users]# htpasswd -m .htpasswd steven
New password:
Re-type new password:
Adding password for user steven
[root@mailgw http_auth_users]#
?
現在開啟您的 Broser，輸入 http://{Your_URL}/{Need_Password_Dir} 本例為 http://www.abc.com.tw/secure_data 時就會出現認證畫面了。
?
來源：http://www.l-penguin.idv.tw/l-penguin.s/article/apache2_security.htm
?
?另一篇來自：http://www.ibm.com/developerworks/cn/linux/l-cn-apache-secure/
?
?
Web 服務器也稱為 WWW 服務器或 HTTP 服務器 (HTTP Server)，它是 Internet 上最常見也是使用最頻繁的服務器之一，Web 服務器能夠為用戶提供網頁瀏覽、論壇訪問等等服務。
?
由于用戶在通過 Web 瀏覽器訪問信息資源的過程中，無須再關心一些技術性的細節，而且界面非常友好，因而 Web 在 Internet 上一推出就得到了爆炸性的發展。現在 Web 服務器已經成為 Internet 上最大的計算機群，Web 文檔之多、鏈接的網絡之廣，也令人難以想像。因此，Web 服務器軟件的數量也開始增加，Web 服務器軟件市場的競爭也越來越激烈。本文所討論的就是一款最常用的 Web 服務器軟件—— Apache。
?
Apache 是一個免費的軟件，用戶可以免費從 Apache 的官方網站下載。任何人都可以參加其組成部分的開發。Apache 允許世界各地的人對其提供新特性。當新代碼提交到 Apache Group 后，Apache Group 對其具體內容進行審查并測試和質量檢查。如果他們滿意，該代碼就會被集成到 Apache 的主要發行版本中。
?
Apache 的其他主要特征有：
- 支持最新的 HTTP 協議：是最先支持 HTTP1.1 的 Web 服務器之一，其與新的 HTTP 協議完全兼容，同時與 HTTP1.0、HTTP1.1 向后兼容。Apache 還為支持新協議做好了準備。
- 簡單而強大的基于文件的配置：該服務器沒有為管理員提供圖形用戶界面，提供了三個簡單但是功能異常強大的配置文件。用戶可以根據需要用這三個文件隨心所欲地完成自己希望的 Apache 配置。
- 支持通用網關接口（CGI）：采用 mod_cgi 模塊支持 CGI。Apache 支持 CGI/1.1 標準，并且提供了一些擴充。
- 支持虛擬主機：是首批既支持 IP 虛擬主機又支持命名虛擬主機的 Web 服務器之一。
- 支持 HTTP 認證：支持基于 Web 的基本認證。它還有望支持基于消息摘要的認證。
- 內部集成 Perl：Perl 是 CGI 腳本編程的事實標準。Apache 對 Perl 提供了良好的支持，通過使用其 mod_perl 模塊，還可以將 Perl 的腳本裝入內存。
- 集成代理服務器：用戶還可以選擇 Apache 作為代理服務器。
- 支持 SSL：由于版本法和美國法律在進出口方面的限制，Apache 本身不支持 SSL。但是用戶可以通過安裝 Apache 的補丁程序集合（Apache－SSL）使得 Apache 支持 SSL。
- 支持 HTTP Cookie：通過支持 Cookie，可以對用戶瀏覽 Web 站點進行跟蹤。
?
一般說來，Apache 服務器主要面臨如下幾種網絡威脅：
- 使用 HTTP 協議進行的拒絕服務攻擊：攻擊者會通過某些手段使服務器拒絕對 HTIP 應答。這樣會使 Apache 對系統資源（CPU 時間和內存）需求巨增，造成 Apache 系統變慢甚至完全癱瘓，從而引起 HTTP 服務的中斷或者合法用戶的合法請求得不到及時地響應；
- 緩沖區溢出攻擊：由于 Apache 源代碼完全開放，攻擊者就可以利用程序編寫的一些缺陷，使程序偏離正常流程。程序使用靜態分配的內存保存請求數據，攻擊者就可以發送一個超長請求使緩沖區溢出，從而導致緩沖區溢出攻擊；
- 被攻擊者獲得 root 權限，威脅系統安全：由于 Apache 服務器一般以 root 權限運行，攻擊者通過它獲得 root 權限，進而控制整個 Apache 系統；
- Apache 服務器與客戶端通信安全：如果采用明文傳輸，則服務器與客戶端的敏感通信信息將有可能被黑客或者不法用戶獲取；
- 由于 Apache 配置文件設置不當引起的安全問題：惡意者可以隨意下載或修改刪除系統文件。這主要涉及到對訪問者的內容和權限的限制。
要應對上述這些安全威脅，要從 Apache 服務器端配置、運行環境、通信鏈路安全保障、安全模塊使用、日志管理等各方面、全方位的進行保障，下面將進行分門別類的詳細介紹。
?
?
一般情況下，在 Linux 下啟動 Apache 服務器的進程 httpd 需要 root 權限。由于 root 權限太大，存在許多潛在的對系統的安全威脅。一些管理員為了安全的原因，認為 httpd 服務器不可能沒有安全漏洞，因而更愿意使用普通用戶的權限來啟動服務器。http.conf 主配置文件里面有如下 2 個配置是 Apache 的安全保證，Apache 在啟動之后，就將其本身設置為這兩個選項設置的用戶和組權限進行運行，這樣就降低了服務器的危險性。
User apache
Group apache
?
需要特別指出的是：以上 2 個配置在主配置文件里面是默認選項，當采用 root 用戶身份運行 httpd 進程后，系統將自動將該進程的用戶組和權限改為 apache，這樣，httpd 進程的權限就被限制在 apache 用戶和組范圍內，因而保證了安全。
?
Apache 服務器的版本號可以作為黑客入侵的重要信息進行利用，他們通常在獲得版本號后，通過網上搜索針對該版本服務器的漏洞，從而使用相應的技術和工具有針對性的 入侵，這也是滲透測試的一個關鍵步驟。因此，為了避免一些不必要的麻煩和安全隱患，可以通過主配置文件 httpd.conf 下的如下兩個選項進行：
?
（1）ServerTokens：該選項用于控制服務器是否響應來自客戶端的請求，向客戶端輸出服務器系統類型或者相應的內置模塊等重要信 息。Red Hat Enterprise Linux 5 操作系統在主配置文件中提供全局默認控制閾值為 OS，即 ServerTokens OS。它們將向客戶端公開操作系統信息和相關敏感信息，所以保證安全情況下需要在該選項后使用“ProductOnly”，即 ServerTokens ProductOnly。
?
（2）ServerSignature：該選項控制由系統生成的頁面（錯誤信息等）。默認情況下為 off，即 ServerSignature off，該情況下不輸出任何頁面信息。另一情況為 on，即 ServerSignature on，該情況下輸出一行關于版本號等相關信息。安全情況下應該將其狀態設為 off。
?
圖 1 和圖 2 為安全設定這兩個選項前后正常情況下和錯誤情況下的輸出頁面（通過 Rhel5 中的 Mozilla Firefox 瀏覽器訪問 Rhel5 中的 Apache 服務器）的詳細對比。可以清楚看到，安全設定選項后，可以充分地向客戶端用戶隱藏 Linux 操作系統信息和 Apache 服務器版本信息。
圖 1. 錯誤情況下未設定安全選項前示意
圖 2. 操作情況下使用安全設定后的對比
要從主目錄以外的其他目錄中進行發布，就必須創建虛擬目錄。虛擬目錄是一個位于 Apache 的主目錄外的目錄，它不包含在 Apache 的主目錄中，但在訪問 Web 站點的用戶看來，它與位于主目錄中的子目錄是一樣的。每個虛擬目錄都有一個別名，用戶 Web 瀏覽器中可以通過此別名來訪問虛擬目錄，如 http:// 服務器 IP 地址 / 別名 / 文件名，就可以訪問虛擬目錄下面的任何文件了。
?
使用 Alias 選項可以創建虛擬目錄。在主配置文件中，Apache 默認已經創建了兩個虛擬目錄。這兩條語句分別建立了“/icons/”和“/manual”兩個虛擬目錄，它們對應的物理路徑分別是“/var/www /icons/”和“/var/www/manual”。在主配置文件中，用戶可以看到如下配置語句：
Alias /icons/ "/var/www/icons/"
Alias /manual "/var/www/manual"
?
在實際使用過程中，用戶可以自己創建虛擬目錄。比如，創建名為 /user 的虛擬目錄，它所對應的路徑為上面幾個例子中常用的 /var/www/html/rhel5：
Alias /test "/var/www/html/rhel5"
?
如果需要對其進行權限設置，可以加入如下語句：
<Directory “/var/www/html/rhel5”>
AllowOverride None
Options Indexes
Order allow,deny
Allow from all
</Directory>
?
設置該虛擬目錄和目錄權限后，可以使用客戶端瀏覽器進行測試驗證，采用別名對該目錄中的文件進行訪問，瀏覽結果如圖 3 所示。
圖 3. 使用虛擬目錄的測試結果
?
Apache 服務器需要綁定到 80 端口上來監聽請求，而 root 是唯一有這種權限的用戶，隨著攻擊手段和強度的增加，這樣會使服務器受到相當大的威脅，一但被利用緩沖區溢出漏洞，就可以控制整個系統。為了進一步提高系 統安全性，Linux 內核引入 chroot 機制，chroot 是內核中的一個系統調用，軟件可以通過調用函數庫的 chroot 函數，來更改某個進程所能見到的根目錄。
?
chroot 機制即將某軟件運行限制在指定目錄中，保證該軟件只能對該目錄及其子目錄的文件有所動作，從而保證整個服務器的安全。在這種情況下，即使出現黑客或者不法 用戶通過該軟件破壞或被侵入系統，Linux 系統所受的損壞也僅限于該設定的根目錄，而不會影響到整個系統的其他部分。
?
將軟件 chroot 化的一個問題是該軟件運行時需要的所有程序、配置文件和庫文件都必須事先安裝到 chroot 目錄中，通常稱這個目錄為 chroot“監牢”。如果在“監牢”中運行 httpd，那么用戶根本看不到 Linux 文件系統中那個真正的目錄，從而保證了 Linux 系統的安全。
?
在使用該技術的時候，一般情況下需要事先創建目錄，并將守護進程的可執行文件 httpd 復制到其中。同時，由于 httpd 需要幾個庫文件，所以需要把 httpd 程序依賴的幾個 lib 文件同時也拷貝到同一個目錄下，因此手工完成這一工作是非常麻煩的。幸運的是，用戶可以通過使用開源的 jail 軟件包來幫助簡化 chroot“監牢”建立的過程，具體步驟如下所示：Jail 官方網站是： http://www.jmcresearch.com/projects/ 。
?
首先將其下載，然后執行如下命令進行源代碼包的編譯和安裝：
#tar xzvf jail_1.9a.tar.gz
#cd jail/src
#make
?
jail 軟件包提供了幾個 Perl 腳本作為其核心命令，包括 mkjailenv、addjailuser 和 addjailsw，他們位于解壓后的目錄 jail/bin 中。這幾個命令的基本用途如下所示：
- mkjailenv：用于創建 chroot“監牢”目錄，并且從真實文件系統中拷貝基本的軟件環境。
- addjailsw：用于從真實文件系統中拷貝二進制可執行文件及其相關的其它文件（包括庫文件、輔助性文件和設備文件）到該“監牢”中。
- addjailuser：創建新的 chroot“監牢”用戶。
采用 jail 創建監牢的步驟如下所示；
（1）首先需要停止目前運行的 httpd 服務，然后建立 chroot 目錄，命令如下所示。該命令將 chroot 目錄建立在路徑 /root/chroot/httpd 下：
# service httpd stop
# mkjailenv /root/chroot/httpd
kjailenv
A component of Jail (version 1.9 for linux)
http://www.gsyc.inf.uc3m.es/~assman/jail/
Juan M. Casillas <assman@gsyc.inf.uc3m.es>
Making chrooted environment into /root/chroot/httpd
Doing preinstall()
Doing special_devices()
Doing gen_template_password()
Doing postinstall()
Done.
?
（2）為“監牢”添加 httpd 程序，命令如下：
# ./addjailsw /root/chroot/httpd/ -P /usr/sbin/httpd
addjailsw
A component of Jail (version 1.9 for linux)
http://www.gsyc.inf.uc3m.es/~assman/jail/
Juan M. Casillas <assman@gsyc.inf.uc3m.es>
Guessing /usr/sbin/httpd args(0)
Warning: can't create /proc/mounts from the /proc filesystem
Done.
?
在上述過程中，用戶不需要在意那些警告信息，因為 jail 會調用 ldd 檢查 httpd 用到的庫文件。而幾乎所有基于共享庫的二進制可執行文件都需要上述的幾個庫文件。
?
（3）然后，將 httpd 的相關文件拷貝到“監牢”的相關目錄中，命令如下所示：
# mkdir -p /root/chroot/httpd/etc
# cp – a /etc/httpd /root/chroot/httpd/etc/
?
添加后的目錄結構如下所示：
# ll
總計 56
drwxr-xr-x 2 root root 4096 03-23 13:44 dev
drwxr-xr-x 3 root root 4096 03-23 13:46 etc
drwxr-xr-x 2 root root 4096 03-23 13:46 lib
drwxr-xr-x 2 root root 4096 03-23 13:46 selinux
drwsrwxrwx 2 root root 4096 03-23 13:46 tmp
drwxr-xr-x 4 root root 4096 03-23 13:46 usr
drwxr-xr-x 3 root root 4096 03-23 13:46 var
?
（4）重新啟動 httpd，并使用 ps 命令檢查 httpd 進程，發現該進程已經運行在監牢中，如下所示：
# ps -aux | grep httpd
Warning: bad syntax, perhaps a bogus '-'? See /usr/share/doc/procps-3.2.7/FAQ
root 3546 0.6 0.3 3828 1712 pts/2 S 13:57 0:00 /usr/sbin/nss_pcache off
/etc/httpd/alias
root 3550 14.2 3.6 49388 17788 ? Rsl 13:57 0:00 /root/chroot/httpd/httpd
apache 3559 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3560 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3561 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3562 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3563 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3564 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3565 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3566 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
root 3568 0.0 0.1 4124 668 pts/2 R+ 13:57 0:00 grep httpd
?
Apache 的一個優勢便是其靈活的模塊結構，其設計思想也是圍繞模塊（module）概念而展開的。安全模塊是 Apache Server 中的極其重要的組成部分。這些安全模塊負責提供 Apache server 的訪問控制和認證，授權等一系列至關重要的安全服務。
?
Apache 下有如下幾類與安全相關的模塊：
- mod_access 模塊能夠根據訪問者的 IP 地址（或域名，主機名等）來控制對 Apache 服務器的訪問，稱之為基于主機的訪問控制。
- mod_auth 模塊用來控制用戶和組的認證授權（Authentication）。用戶名和口令存于純文本文件中。
- mod_auth_db 和 mod_auth_dbm 模塊則分別將用戶信息（如名稱、組屬和口令等）存于 Berkeley-DB 及 DBM 型的小型數據庫中，便于管理及提高應用效率。
- mod_auth_digest 模塊則采用 MD5 數字簽名的方式來進行用戶的認證，但它相應的需要客戶端的支持。
- mod_auth_anon 模塊的功能和 mod_auth 的功能類似，只是它允許匿名登錄，將用戶輸入的 E-mail 地址作為口令。
- mod_ssl 被 Apache 用于支持安全套接字層協議，提供 Internet 上安全交易服務，如電子商務中的一項安全措施。通過對通信字節流的加密來防止敏感信息的泄漏。但是，Apache 的這種支持是建立在對 Apache 的 API 擴展來實現的，相當于一個外部模塊，通過與第三方程序（如 openssl）的結合提供安全的網上交易支持。
為了能夠使用模塊功能，模塊通常以 DSO（Dynamic Shared Object）的方式構建，用戶應該在 httpd.conf 文件中使用 LoadModule 指令，使得能夠在使用前獲得模塊的功能。如下為主配置文件中各個模塊的情況，開啟安全模塊非常簡單，即去掉在各安全模塊所在行前的“#”符號即可，如下所 示：
LoadModule auth_basic_module modules/mod_auth_basic.so
LoadModule auth_digest_module modules/mod_auth_digest.so
LoadModule authn_file_module modules/mod_authn_file.so
LoadModule authn_alias_module modules/mod_authn_alias.so
....
?
只有將上述安全模塊進行開啟后 ,Apache 才能實現相應的訪問控制和通信加密功能。
?
在開啟了相應的安全模塊后，還需要對 Apache 的訪問控制策略進行設定。
?
目前，有兩種常見的認證類型，基本認證和摘要認證：
（1）基本認證（Basic）：使用最基本的用戶名和密碼方式進行用戶認證。
（2）摘要認證（Digest）：該認證方式比基本認證要安全得多，在認證過程中額外使用了一個針對客戶端的挑戰（challenge）信息，可以有效地避免基本認證方式可能遇到的“重放攻擊”。值得注意的是：目前并非所有的瀏覽器都支持摘要認證方式。
?
所有的認證配置指令既可以出現在主配置文件 httpd.conf 中的 Directory 容器中，也可以出現在單獨的 .htaccess 文件中，這個可以由用戶靈活地選擇使用。在認證配置過程中，需要用到如下指令選項：
- AuthName：用于定義受保護區域的名稱。
- AuthType：用于指定使用的認證方式，包括上面所述的 Basic 和 Digest 兩種方式。
- AuthGroupFile：用于指定認證組文件的位置。
- AuthUserFile：用戶指定認證口令文件的位置。
使用上述的認證指令配置認證之后，需要為 Apache 服務器的訪問對象，也就是指定的用戶和組進行相應的授權，以便于他們對 Apache 服務器提供的目錄和文件進行訪問。為用戶和組進行授權需要使用 Require 指令，它主要可以使用如下三種方式進行授權：
- 授權給指定的一個或者多個用戶：使用 Require user 用戶名 1 用戶名 2 …。
- 授權給指定的一個或者多個組：使用 Require group 用戶名 1 用戶名 2 …。
- 授權給指定口令文件中的所有用戶：使用 Require valid-user。
?
要實現用戶認證功能，首先要建立保存用戶名和口令的文件。Apache 自帶的 htpasswd 命令提供了建立和更新存儲用戶名、密碼的文本文件的功能。需要注意的是，這個文件必須放在不能被網絡訪問的位置，以避免被下載和信息泄漏。建議將口令文件 放在 /etc/httpd/ 目錄或者其子目錄下。
?
下面的例子在 /etc/httpd 目錄下創建一個文件名為 passwd_auth 的口令文件，并將用戶 rhel5 添加入認證口令文件。使用以下命令建立口令文件（過程中還會提示輸入該用戶的口令）：
# touch passwd_auth
# htpasswd -c /etc/httpd/passwd_auth rhel5
New password:
Re-type new password:
Adding password for user rhel5
?
命令執行的過程中系統會要求用戶為 rhel5 用戶輸入密碼。上述命令中的 -c 選項表示無論口令文件是否已經存在，都會重新寫入文件并刪去原有內容。所以在添加第 2 個用戶到口令文件時，就不需要使用 -c 選項了，如下命令所示
# htpasswd /etc/httpd/passwd_auth testuser
?
配置指令
Apache 實現訪問控制的配置指令包括如下三種：
（1）order 指令：用于指定執行允許訪問控制規則或者拒絕訪問控制規則的順序。order 只能設置為 Order allow，deny 或 Order deny，allow，分別用來表明用戶先設置允許的訪問地址還是先設置禁止訪問的地址。Order 選項用于定義缺省的訪問權限與 Allow 和 Deny 語句的處理順序。Allow 和 Deny 語句可以針對客戶機的域名或 IP 地址進行設置，以決定哪些客戶機能夠訪問服務器。Order 語句設置的兩種值的具體含義如下：
- allow, deny：缺省禁止所有客戶機的訪問，且 Allow 語句在 Deny 語句之前被匹配。如果某條件既匹配 Deny 語句又匹配 Allow 語句，則 Deny 語句會起作用（因為 Deny 語句覆蓋了 Allow 語句）。
- deny, allow：缺省允許所有客戶機的訪問，且 Deny 語句在 Allow 語句之前被匹配。如果某條件既匹配 Deny 語句又匹配 Allow 語句，則 Allow 語句會起作用（因為 Allow 語句覆蓋了 Deny 語句）。
（2）allow 指令：指明允許訪問的地址或地址序列。如 allow from all 指令表明允許所有 IP 來的訪問請求。
（3）deny 指令：指明禁止訪問的地址或地址序列。如 deny from all 指令表明禁止所有 IP 來的訪問請求。
?
應用實例
下面舉幾個簡單的例子對上述 order、allow 和 deny 命令的使用進行示范。
?
（1）在下面的例子中，admin.org 域中所有主機都允許訪問網站，而其他非該域中的任何主機訪問都被拒絕，因為 Deny 在前，Allow 在后，Allow 語句覆蓋了 Deny 語句：
Order Deny,Allow
Deny from all
Allow from admin.org
?
（2）下面例子中，admin.org 域中所有主機，除了 db.admin.org 子域包含的主機被拒絕訪問以外，都允許訪問。而所有不在 admin.org 域中的主機都不允許訪問，因為缺省狀態是拒絕對服務器的訪問（Allow 在前，Deny 在后，Deny 語句覆蓋了 Allow 語句）：
Order Allow,Deny
Allow from admin.org
Deny from db.admin.org
?
使用主配置文件配置用戶認證及授權
在本例子中，用戶可以在 Apache 的主配置文件 httpd.conf 中加入以下語句建立對目錄 /var/www/html/rhel5 訪問的用戶認證和授權機制：
<Directory "/var/www/html/rhel5">
AllowOverride None
AuthType Basic
AuthName "rhel5"
AuthUserFile /etc/httpd/passwd_auth
Require user rhel5 testuser
</Directory>
?
在上述例子中，使用了如下指令：
- AllowOverride：該選項定義了不使用 .htaccess 文件。
- AuthType Basic：AuthType 選項定義了對用戶實施認證的類型，最常用的是由 mod_auth 提供的 Basic。
- AuthName：定義了 Web 瀏覽器顯示輸入用戶 / 密碼對話框時的領域內容。
- AuthUserFile：定義了口令文件的路徑，即使用 htpasswd 建立的口令文件。
- Require user：定義了允許哪些用戶訪問，各用戶之間用空格分開。
需要注意的是：在 AuthUserFile 選項定義中，還需要使用如下語句事先建立認證用戶 patterson 和 testuser，該選項中的定義才能生效：
#htpasswd -c /etc/httpd/passwd_auth rhel5
#htpasswd /etc/httpd/passwd_auth testuser
?
使用 .htaccess 文件配置用戶認證和授權
在本例子中，為了完成如上述例子同樣的功能，需要先在主配置文件中加入如下語句：
<Directory “/var/www/html/rhel5”>
AllowOverride AuthConfig
</Directory>
?
上述語句中的 AllowOverride 選項允許在 .htaccess 文件中使用認證和授權指令。、、然后，在 .htaccess 文件中添加如下語句即可：
AuthType Basic
AuthName "Please Login:"
AuthUserFile /etc/httpd/passwd_auth
Require user rhel5 testuser、
?
同理，在 AuthUserFile 選項定義中，還需要使用如下語句事先建立認證用戶 patterson 和 testuser，該選項中的定義才能生效：
#htpasswd -c /etc/httpd/passwd_auth rhel5
#htpasswd /etc/httpd/passwd_auth testuser
?
?
在 SSL 通信中，首先采用非對稱加密交換信息，使得服務器獲得瀏覽器端提供的對稱加密的密鑰，然后利用該密鑰進行通信過程中信息的加密和解密。為了保證消息在傳遞 過程中沒有被篡改，可以加密 Hash 編碼來確保信息的完整性。服務器數字證書主要頒發給 Web 站點或其他需要安全鑒別的服務器，證明服務器的身份信息，同樣客戶端數字證書用于證明客戶端的身份。
?
使用公用密鑰的方式可以保證數據傳輸沒有問題，但如果瀏覽器客戶訪問的站點被假冒，這也是一個嚴重的安全問題。這個問題不屬于加密本身，而是 要保證密鑰本身的正確性問題。要保證所獲得的其他站點公用密鑰為其正確的密鑰，而非假冒站點的密鑰，就必須通過一個認證機制，能對站點的密鑰進行認證。當 然即使沒有經過認證，仍然可以保證信息傳輸安全，只是客戶不能確信訪問的服務器沒有被假冒。如果不是為了提供電子商務等方面對安全性要求很高的服務，一般 不需要如此嚴格的考慮。
?
下面給出使用 SSL 進行通信的過程（參見圖 4）：
（1）客戶端向服務器端發起對話，協商傳送加密算法。例如：對稱加密算法有 DES、RC5，密鑰交換算法有 RSA 和 DH，摘要算法有 MD5 和 SHA。
（2）服務器向客戶端發送服務器數字證書。比如：使用 DES－RSA－MD5 這對組合進行通信。客戶端可以驗證服務器的身份，決定是否需要建立通信。
（3）客戶端向服務器傳送本次對話的密鑰。在檢查服務器的數字證書是否正確，通過 CA 機構頒發的證書驗證了服務器證書的真實有效性之后，客戶端生成利用服務器的公鑰加密的本次對話的密鑰發送給服務器。
（4）服務器用自己的私鑰解密獲取本次通信的密鑰。
（5）雙方的通信正式開始。
圖 4. SSL 通信流程示意
在一般情況下，當客戶端是保密信息的傳遞者時，他不需要數字證書驗證自己身份的真實性，如用戶通常使用的網上銀行交易活動，客戶需要將自己的 隱秘信息——賬號和密碼發送給銀行，因此銀行的服務器需要安裝數字證書來表明自己身份的有效性，否則將會使得信息泄露。當然，在某些安全性要求極高的 B2B（Business to Business）應用，服務器端也需要對客戶端的身份進行驗證，這時客戶端也需要安裝數字證書以保證通信時服務器可以辨別出客戶端的身份，驗證過程類似 于服務器身份的驗證過程。另外，在一些電子商務的應用中，可能還會使用到電子簽名，或者為了信息交換的更加安全，會增加電子簽名和消息校驗碼（MAC）。 而在通常情況下，瀏覽器都會通過交互的方式來完成上述的通信過程，下面在 Linux 中對 Apache 采用 SSL 也會作詳細地介紹。
?
?
安裝 SSL
雖然 Apache 服務器不支持 SSL，但 Apache 服務器有兩個可以自由使用的支持 SSL 的相關計劃，一個為 Apache-SSL，它集成了 Apache 服務器和 SSL，另一個為 Apache+mod_ssl，它是通過可動態加載的模塊 mod_ssl 來支持 SSL，其中后一個是由前一個分化出的，并由于使用模塊，易用性很好，因此使用范圍更為廣泛。還有一些基于 Apache 并集成了 SSL 能力的商業 Web 服務器，然而使用這些商業 Web 服務器主要是北美，這是因為在那里 SSL 使用的公開密鑰的算法具備專利權，不能用于商業目的，其他的國家不必考慮這個專利問題，而可以自由使用 SSL。
?
Apache+mod_ssl 依賴于另外一個軟件：OpenSSL，它是一個可以自由使用的 SSL 實現，首先需要安裝這個軟件。用戶可以從網站 http://www.openssl.org/source/ 上下載 Linux 下 OpenSSL 的最新穩定版本：openssl-1.0.1c.tar.gz。
?
下載源代碼安裝包后，使用如下的步驟安裝即可：
（1）用 openssl-1.0.1c.tar.gz 軟件包安裝 OpenSSL 之前，首先須要對該軟件包進行解壓縮和解包。用以下命令完成軟件包的解壓縮和解包：
#tar xvfz openssl-1.0.1c.tar.gz
（2）解壓縮后，進入源碼的目錄 openssl-1.0.1c ，并使用配置腳本進行環境的設置。相應的命令為：
// 改變當前目錄為 openssl-1.0.1c 目錄
#cd openssl-1.0.1c
// 執行該目錄下配置腳本程序
#./configure
?
（3）在執行 ./configure 之后，配置腳本會自動生成 Makefile。如果在設置的過程中沒有任何的錯誤，就可以開始編譯源碼了。相應的命令及其顯示結果如下：
#make & make install
?
安裝好 OpenSSL 之后，就可以安裝使用 Apache+mod_ssl 了。然而為了安裝完全正確，需要清除原先安裝的 Apache 服務器的其他版本，并且還要清除所有的設置文件及其缺省設置文件，以避免出現安裝問題。最好也刪除 /usr/local/www 目錄（或更名），以便安裝程序能建立正確的初始文檔目錄。如果是一臺沒有安裝過 Apache 服務器的新系統，就可以忽略這個步驟，而直接安裝 Apache+mod_ssl 了。
?
啟動和關閉 SSL
啟動和關閉該服務器的命令如下所示：
- #apachectl start：啟動 apache。
- #apachectl startssl：啟動 apache ssl。
- #apachectl stop：停止 apache。
- #apachectl restart：重新啟動 apache。
- #apachectl status：顯示 apache 的狀態。
- #apachectl configtest：測試 httpd.conf 配置是否正確。
- # /usr/local/sbin/apachectl startssl
此時使用 start 參數為僅僅啟動普通 Apache 的 httpd 守護進程，而不啟動其 SSL 能力，而 startssl 才能啟動 Apache 的 SSL 能力。如果之前 Apache 的守護進程正在運行，便需要使用 stop 參數先停止服務器運行。
?
在采用 OpenSSL 進行 Apache 通信加密前，需要先產生與加密相關的認證憑證（也就是證書），如下步驟所示：
# openssl genrsa -out apache.key 1024
Generating RSA private key, 1024 bit long modulus
..........................................++++++
.....................++++++
e is 65537 (0x10001)
# openssl req -new -key apache.key -out apache.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [GB]:CN
State or Province Name (full name) [Berkshire]:China
Locality Name (eg, city) [Newbury]:Beijing
Organization Name (eg, company) [My Company Ltd]:CSO
Organizational Unit Name (eg, section) []:CSO
Common Name (eg, your name or your server's hostname) []:localhost
Email Address []:CSO@ittf.org.cn
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:apacheserver
An optional company name []:apacheserver
# openssl x509 -req -days 365 -in apache.csr -signkey apache.key -out apache.crt
Signature ok
subject=/C=CN/ST=China/L=Beijing/O=CSO/OU=CSO/CN=localhost/emailAddress=CSO@ittf.org.cn
Getting Private key
?
經過上述步驟后，將會產生三個文件 apache.csr, apache.key 和 apache.crt，然后把這三個文件拷貝到 /etc/httpd/conf/ca 目錄下即可。
?
然后，就可以啟動 Mozilla、IE 或其他支持 SSL 的瀏覽器，輸入 URL 為： https://ssl_server/ 來查看服務器是否有相應，https 使用的缺省端口為 443，如果一切正常，服務器將會返回給客戶端證書，由客戶端進行驗證并且判斷，是否接受該證書并進行下一步的通信過程。
?
下面以 Linux 下的 Mozilla Firefox 瀏覽器為例，來簡要說明使用 Apache+SSL 服務器的過程。首先，圖 5 給出了查看和驗證該證書的相關提示；最后，圖 6 則給出了證書驗證成功后，采用 SSL 進行保密傳輸的具體界面示意：
圖 5. 驗證證書示意
圖 6. 證書通過驗證，正常通信開始
?
?
日志文件是用戶管理和監控 Apache 安全的非常好的第一手資料，它清晰地記錄了客戶端訪問 Apache 服務器資源的每一條記錄，以及在訪問中出現的錯誤信息，可以這樣說，Apache 可以記錄 Web 訪問中感興趣的幾乎所有信息。
?
當運行 Apache 服務器時生成 4 個標準的日志文件：
- 錯誤日志
- 訪問日志
- 傳輸日志
- Cookie 日志
其中比較常見的是訪問日志（access_log）和錯誤日志（error_log），其中傳輸日志和 cookie 日志被 Apache 2.0 以上的版本丟棄，所以本文不討論這兩種日志。當然，如果使用 SSL 服務的話，還可能存在 ssl_access_log、ssl_error_log 和 ssl_request_log 三種日志文件。
?
另外，值得注意的是：上述幾種日志文件如果長度過大，還可能生成注入 access_log.1，error_log.2 等的額外文件，其格式與含義與上述幾種文件相同，只不過系統自動為其進行命名而已。
?
Apache 中提供如下 4 條與日志相關的配置指令：
- ErrorLog 指令：用于指定錯誤日志的存放路徑，使用語法為：ErrorLog 文件名；
- LogLevel：用于指定錯誤日志的錯誤登記，使用語法為：Loglevel 等級；
- LogFormat：用于為日志記錄格式命名，使用語法為：LogFormat 記錄格式說明字符串 格式稱謂；
- CustomLog：用于指定訪問日志存放路徑和記錄格式，指定訪問日志由指定的程序生成并指定日志的記錄格式，使用語法為：CustomLog 日志文件名 格式稱謂。
在上述幾個文件當中，除了 error_log 和 ssl_error_log 之外，所有日志文件以由 CustomLog 和 LogFormat 指令指定的格式生成。這些指令在 httpd.conf 文件中出現。使用 LogFormat 指令可以定義新的日志文件格式：
LogFormat “%h %l %u %t \ “%> %s %b “common
?
假定使用的是 common 日志格式或者 combined 日志格式，這兩種格式都在默認的配置文件中定義。表 1 列出了 LogFormat 語句可以使用的變量：
表 1. LogFormat 語句的變量
變 量 含 義| %b | 發送字節，不包括 HTTP 標題 |
| %f | 文件名 |
| %{VARIABLE}e | 環境變量 VARIABLE 的內容 |
| %h | 遠程主機 |
| %a | 遠程 IP 地址 |
| %{HEADER}i | HEADER 內容；發送到服務器的請求的標題行 |
| %l | 遠程登錄名（如果提供該值，則從 identd 獲得） |
| %{NOTE}n | 來自另一個模塊的 NOTE 通知的內容 |
| %{HEADER}o | HEADER 的內容，回復中的標題行 |
| %p | 服務器服務于請求的規范端口 |
| %P | 服務于請求的子進程的 ID |
| %r | 請求的第一行 |
| %s | 狀態。對于內部重定向的請求，該狀態為初始請求—最后是 %>s |
| %t | 時間，格式為 common 日志格式中的時間格式 |
| %{format}t | 時間，格式由 format 給出。可以是 strftime（3）格式 |
| %T | 服務請求花費的時間，以秒計 |
| %u | 來自 auth 的遠程用戶；如果返回的狀態（%s）為 401 則可能是假的 |
| %U | 請求的 URL 路徑 |
| %v | 服務于該請求的服務器的規范 ServerName |
在每個變量中，可以在前面設置一個條件，決定是否顯示該變量。如果不顯示，則顯示 -。這些條件是數值返回值列表的形式。另外，還可以使用 CustomLog 指令指定日志文件的位置和格式。如果沒有指定日志文件的絕對路徑，則日志文件的位置假定為相對于 ServerRoot。下面是 httpd.conf 文件中指定日志文件的語句：
//
// The location and format of the access logfile（Common Logfile Format）.
// If you do not define any access logfiles within a <VirtualHost>
// container, they will be logged here. Contrariwise, if you *do*
// define per-<VirtualHost> access logfiles, transactions will be
// logged therein and *not* in this file.
//
CustomLog logs/access_log common
ErrorLog logs/error_log
?
?
一般說來，Apache 中的錯誤日志記錄等級有如表 2 所示的八類：
?
表 2. 錯誤日志記錄的等級
緊急性 等級 解釋| 1 | Emerg | 出現緊急狀況使得系統不可用 |
| 2 | Alert | 需要立即引起注意的狀況 |
| 3 | Crit | 危險情況的警告 |
| 4 | Error | 除上述 3 種情況之外的其他錯誤 |
| 5 | Warn | 警告信息 |
| 6 | Notice | 需要引起注意的情況，不如第 4 和第 5 類重要 |
| 7 | Info | 需要報告的一般消息 |
| 8 | Debug | 運行于 debug 模式的程序產生的消息 |
另外，在 Apache 中，將訪問日志分為如下 4 類：
- 普通日志格式（common log format，CLF）：大多數日志分析軟件都支持這種格式，其在 LogFormat 指定中定義的昵稱為 common；
- 參考日志格式（referer log format）：記錄客戶訪問站點的用戶身份，其在 LogFormat 指定中定義的昵稱為 referer；
- 代理日志格式（agent log format）：記錄請求的用戶代理，其在 LogFormat 指定中定義的昵稱為 agent；
- 綜合日志格式（combined log format）：即結合上述三種格式的日志信息，其在 LogFormat 指定中定義的昵稱為 combined。
在實際的使用過程中，由于綜合日志格式有效地結合了其他 3 種日志格式和信息，所以在配制訪問日志時，可以有
?
兩種方式：
（1）分別使用 3 個文件進行分別記錄，相應配置示例如下：
LogFormat “%h %l %u %t \ “%r\” %>s %b” common
LogFormat “%{Referer}i->%U” referer
LogFormat “%{Apache User-agent}i” agent
CustomLog logs/access_log common
CustomLog logs/referer_log referer
CustomLog logs/agent_log agent
?
（2）使用一個綜合文件進行記錄，相應配置示例如下：
LogFormat “%h %l %u %t \ “%r\” %>s %b \”%{Referer}i\” \
“%{Apache User-Agent}i\””combined
CustomLog logs/access_log combined
?
學習
-
訪問
Apache 官方網站
，了解 Apache 開源項目的相關知識、進展和動態。
-
下載
Apache Web 服務器
，進行實際安裝和學習。
-
學習
change root 工具
，進行 Apache 安全運行環境設置演練。
-
閱讀書籍：
Apache security:The complete guide to securing your Apache web server
，系統學習 Apache 安全方面的更多知識。
-
參考書籍：
Apache server administrator's handbook
，學習更多 Apache 服務安全管理方面的知識。
-
下載最新版本的
OpenSSL
，安裝并設置證書，進行數據通信安全保障方面的實戰演練。
-
在
developerWorks Linux 專區
尋找為 Linux 開發人員（包括
Linux 新手入門
）準備的更多參考資料，查閱我們
最受歡迎的文章和教程
。
-
在 developerWorks 上查閱所有
Linux 技巧
和
Linux 教程
。
-
隨時關注 developerWorks
技術活動
和
網絡廣播
。
討論
-
加入
developerWorks 中文社區
，developerWorks 社區是一個面向全球 IT 專業人員，可以提供博客、書簽、wiki、群組、聯系、共享和協作等社區功能的專業社交網絡社區。
- 加入 IBM 軟件下載與技術交流群組 ，參與在線交流。
?
?
更多文章、技術交流、商務合作、聯系博主
微信掃碼或搜索：z360901061
微信掃一掃加我為好友
QQ號聯系： 360901061
您的支持是博主寫作最大的動力，如果您喜歡我的文章，感覺我的文章對您有幫助，請用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧，狠狠點擊下面給點支持吧，站長非常感激您！手機微信長按不能支付解決辦法：請將微信支付二維碼保存到相冊，切換到微信，然后點擊微信右上角掃一掃功能，選擇支付二維碼完成支付。
【本文對您有幫助就好】元
