web安全加固

引言：

本文环境

系统：Ubuntu 5.4.0

数据库：5.7.33-0ubuntu0.16.04.1

服务器：Apache/2.4.18

MySQL安全加固

MySQL安全规范依据

GB/T 22239-2019 信息安全技术

MySQL安全最佳实践

mysql.user表，用于存储可访问数据库的用户登录信息和权限

sql用户管理基础命令

查看用户

select host,user,authentication_string from user;

创建用户

create user testuser identified by '123456';
-- 限制被创建用户只能从本地登录
create user testuser2@localhost identified by '123456';

删除用户

drop user testuser;
drop user testuser2@localhost;

修改用户

-- 修改root密码为123456，mysql.user中存储的是密码的哈希值，alter会自动加密
alter user root@localhost identified by '123456';
-- 修改用户名
update user set user='myroot' where user='root' and host='localhost';

用户控制

mysql中没有直接在主体中提供密码复杂度、登录控制等设置，而是增加了插件

在/etc/mysql/my.cnf中配置强制加载插件,配置完重启服务

-- 查找插件位置
show variables like 'plugin_dir';
validate_password.so 为密码复杂度插件

在配置文件中设置
[mysqld] 
plugin-load-add=插件名
validate-password=FORCE_PLUS_PERMANENT

密码复杂度设置

插件：validate_password.so

-- 进入数据库设置
-- 查看相关变量
show variables like 'validate_password%';
-- 开启复杂度检测
set global validate_password_check_user_name ON;

变量字段解析

| Variable_name
+--------------------------------------+--------+
| validate_password_check_user_name        是否开启（OFF/ON）
| validate_password_dictionary_file 字典检查
| validate_password_length 密码长度
| validate_password_mixed_case_count          包含大小写字母的数量
| validate_password_number_count     包含数字的数量
| validate_password_policy       密码策略

low 检查长度        medium +检查各种字符数量 high +检查字典
| validate_password_special_char_count       特殊字符个数
+--------------------------------------+--------+

登录控制

插件：connection_control.so

-- 进入数据库设置
show variables like 'connection%';
set global connection_control_min_connection_delay=20000;

变量字段解析

| Variable_name
+-------------------------------------------------+------------+
| connection_control_failed_connections_threshold 登录次数
| connection_control_max_connection_delay 登录最大延时，单位毫秒
| connection_control_min_connection_delay 登录最小延时
+-------------------------------------------------+------------+

权限分配

遵循最小权限原则，即只分配能够正常完成任务的最小权限

-- 查看用户权限
show grants for myroot@localhost;

字段解析

管理员权限
| Grants for myroot@localhost
| GRANT ALL PRIVILEGES ON *.* TO 'myroot'@'localhost' WITH GRANT OPTION

ALL 所有权限 ON A.B 在A库B表生效 TO 'myroot'@'localhost' 可登录在本地 WITH GRANT OPTION 可授权给他人

usage 登录权限

-- 授权
grant select,delete on *.* to ntd2404@localhost;
-- 撤销
revoke delete on *.* from ntd2404@localhost;

访问控制

设置mysqld进程的属主

#查看mysqld进程的属主是谁，修改为mysql
ps -ef|grep mysqld

# /etc/mysql/my.cnf中配置
[mysql.server]
User=mysql

更改数据目录属主为mysql

chown -R mysql:mysql /usr/share/mysql

远程连接限制

需要远程连接的情况

站库分离：当源码和数据库分离时需要远程连接，远程客户连接地址就是源码服务器ip

远程连接配置

//在/etc/mysql/mysql.conf.d/mysqld.cnf中配置
# bind-address=127.0.0.1 注释掉
重启服务

-- 设置远程连接的用户和主机
update mysql.user set host='192.168.10.1' where user='myroot';
-- 远程连接命令
mysql -umyroot -p123456 -h192.168.10.146

禁用文件加载

防止客户端加载文件到数据库

# /etc/mysql/my.cnf中配置
local-infile=0

日志管理

-- 查找日志相关变量
show variables like 'log_%';
-- 开启/关闭日志
set global log_name=ON/OFF;

Apache安全加固

配置文件：/etc/apache2/apache2.conf

配置与日志文件权限管理

#修改配置文件仅仅属主可读写
chmod 600 /etc/apache2/apache2.conf
#修改日志文件属主可以读写，其他用户仅读
chmod 644 /var/log/apache2/*.log

文件白名单

在配置文件中添加，仅可访问/var/www/html/DVWA

<Directory /var/www/html>Order Deny,AllowDeny from all
</Directory>
<Directory /var/www/html/DVWA>Order Allow,DenyAllow from all
</Directory>

文件黑名单

禁止访问/var/www/html/DVWA/config

<Directory /var/www/html/DVWA/config>Options  FollowSymLinksAllowOverride NoneRequire all granted
</Directory>

报错信息更改

由于报错信息中会显示服务器一些敏感信息，如服务器类型、版本等，所有需要修改报错信息

#引号内，可以改为文件目录，报错自动跳转
ErrorDocument 404 "<h1>Custom 404 Page</h1>"

版本隐藏

ServerTokens Prod
ServerSignature off

更改默认端口

端口配置文件：/etc/apache2/ports.conf

#更改http端口为81
Listen 81

引言：