Apache Security Installation par défaut Permissions

Question

ive a récemment installé apache2 sur ma machine Ubuntu et j'ai quelques questions sur la sécurité et les permissions des utilisateurs. Je sais comment écouter sur d'autres ports, masquer les index avec -Indexes et comment créer/désactiver de nouveaux Virtual Hosts sur la même machine, mais il y a beaucoup d'options utilisateur déjà préréglées dans la configuration d'installation standard dont je ne suis pas sûr.

Quelqu'un peut-il expliquer exactement ce que ce fichier permet aux utilisateurs de faire sur le système? J'ai passé beaucoup de temps à consulter les guides d'aide et les docs d'Apache, mais il est très touchant, car la plupart de ce dont j'ai réellement besoin est de comprendre ce qui se passe ici en premier. aidez s'il vous plaît.

cat/etc/apache2/sites disponibles/default

<VirtualHost *:80> 
ServerAdmin webmaster@localhost 

DocumentRoot /var/www 
<Directory /> 
    Options FollowSymLinks 
    AllowOverride None 
</Directory> 
<Directory /var/www/> 
    Options Indexes FollowSymLinks MultiViews 
    AllowOverride None 
    Order allow,deny 
    allow from all 
</Directory> 

ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/ 
<Directory "/usr/lib/cgi-bin"> 
    AllowOverride None 
    Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch 
    Order allow,deny 
    Allow from all 
</Directory> 

ErrorLog /var/log/apache2/error.log 

# Possible values include: debug, info, notice, warn, error, crit, 
# alert, emerg. 
LogLevel warn 

CustomLog /var/log/apache2/access.log combined 

    Alias /doc/ "/usr/share/doc/" 
    <Directory "/usr/share/doc/"> 
     Options Indexes MultiViews FollowSymLinks 
     AllowOverride None 
     Order deny,allow 
     Deny from all 
     Allow from 127.0.0.0/255.0.0.0 ::1/128 
    </Directory> 

</VirtualHost> 

Answer 1

S'il y avait un problème de sécurité par défaut Ubuntu Apache configs Canonique fixerait.

Cela étant dit, il existe des moyens de durcir votre installation. Plus important encore, vous devriez penser à installer mod_security. Et si c'est bien plus dommageable qu'Apache, c'est la logique qu'il expose. PHP est souvent mal configuré donc vous devriez lancer PHPSecInfo et enlever autant de rouge et de jaune que possible. Tout analyseur de vulnérabilité d'application Web qui vaut la peine va se plaindre d'être en mesure de voir les listes de répertoires ainsi -Indexes

Est nécessaire sur un système de production. Vous pouvez utiliser vos fichiers journaux dans un emplacement prévisible pour obtenir l'exécution de code à distance à l'aide d'un fichier LFI attack avancé.

Vous devez également suivre le principe de "l'accès au moindre privilège". Si vous n'avez pas besoin de/cgi-bin, supprimez-le.