3 安全审计 3.1 安全日志完备性要求 功能 ：设备应配置日志功能，对运行错误、用户访问等进行记录，记录内容包括时间，用户使用的IP地址等内容。...查看相关日志记录，要求对运行错误、用户访问等进行记录，记录内容包括时间，用户使用的IP地址等内容。...删除缺省的CGI脚本，位置为apache2/cgi-bin目录下的所有文件。...缺省HTML文件，位置为apache2/htdocs目录。 缺省的CGI脚本，位置为apache2/cgi-bin目录。...Apache说明文件，位置为apache2/manual目录 4.2 错误页面处理 功能：Apache默认的错误页面会泄露系统及应用的敏感信息。
在上网的时候，收到任何的错误码都是让人沮丧的体验。尽管我们已经习惯于404页面找不到，我们在页面迷失的时候，看到可爱的占位符来娱乐我们是很常见的事情了。但是有种更令人困惑的403错误：禁止响应。...根据RFC 7231： 403（禁止）状态码表明服务端已经明白请求，但是拒绝授权...如果请求中提供了授权的身份认证，服务端认为它们不足以授予访问权限。...403响应是属于客户端错误4xx范围的HTTP响应。这意味着你或者你的浏览器做错了什么。...但是通常是不需要的操作。 作为一个令人绝望的举动，你还可以尝试禁止可能会干扰你使用网站的浏览器扩展插件。但是，这不太可能，因为403表明你已经通过身份验证，但是未获得授权。...通知网站所有者：当你想访问内容时候返回了403 如果你希望完全可以访问有问题的资源，但是仍然看到此错误，那么明智的做法就是让网站背后的团队知道 - 这可能是他们的错误。
错误号可以是其它的号码，如403、500等 例如： ServerAdmin webmaster@dummy-host.example.com DocumentRoot...相当于404错误。但服务器会承认所请求的文件原来在此位置。所以不会被视为错误。...但我们想在/usr/local/apache2/htdocs/php这个目录中不需要认证，使用户可以直接访问 要达到上面的要求我们可以这样，在配置文件中加入： <Directory "/usr/local...通过对.htaccess文件进行设置，可以帮我们实现：网页301重定向、自定义400/403/404/500错误页面、改变文件扩展名、允许/阻止指定IP用户访问、禁止目录列表、配置默认文档等功能，可以说是功能非常强大...的404错误页面。
0x01 前言 安全服务工程师大家应该都知道，对于他的岗位职责你可能会说不就是渗透测试啊、应急响应嘛.....实际上正式一点的企业对于安服的要求是包括了漏洞扫描、安全基线检查、渗透测试、安全加固...对于基线加固说，不管是对于安服还是安全运营人员来说都是被要求的！接着上回的分享，一起来看看呗！...LogLevel用于调整记录在错误日志中的信息的详细程度，建议设置为notice。 ? ? 0x04 禁止访问外部文件 安全基线项说明：禁止Apache访问Web目录之外的任何文件。.../custom401.html ErrorDocument403 /custom403.html ErrorDocument404 /custom404.html ErrorDocument405 /...检测操作步骤: 删除缺省HTML文件： #rm -rf /usr/local/apache2/htdocs/* 删除缺省的CGI脚本： #rm –rf /usr/local/apache2/cgi-bin
ModSecurity 是一个强大的包过滤工具，将检查每一个进入web服务器的包。它将根据内部规则，比较每一个包，并且确定是否需要禁止这个包或继续发送给web服务器。...本次选择使用包管理器来安装，因为每次使用源码包的安装方式，都会被诡异的库依赖错误弄得发型都抓乱。...code 403 (phase 2)....一旦这样修改了以后，使用IP地址就显示403错误！！！！！！为了这个错误，搞了一天，在网上搜各种403错误就是不行，为什么呢？？？？...查看errol.log 就可以发现，是modsecurity里面禁止了使用IP访问！！！！！！使用localhost就可以正常访问了。。。 所以，看日志是一个很重要的事儿
libaprutil1 libaprutil1-dev libapache2-modsecurity 安装好了以后就可以查看你的modsecurity的版本号是多少，使用 dpkg -s libapache2...-modsecurity | grep Version 第三步 配置modsecurity service apache2 reload 该命令生效后，会在/var/log/apache2/目录下生成modsecurity.../base_rules/$f; done 修改apache模块配置，启用规则集 注意：modsecurity 2.7版本与2.6版本的配置文件有些区别 （1）2.7版本 vim /etc/apache2...一旦这样修改了以后，使用IP地址就显示403错误！！！！！！为了这个错误，搞了一天，在网上搜各种403错误就是不行，为什么呢？？？？...查看errol.log 就可以发现，是modsecurity里面禁止了使用IP访问！！！！！！使用localhost就可以正常访问了。。。 所以，看日志是一个很重要的事儿
配置本地 DNS 文件 —— hosts 设置自己的网站的根目录（虚拟主机） sudo vim /etc/apache2/httpd.conf 找到并去掉注释符号（#） #LoadModule authn_core_module...)的执行顺序 Order Allow,Deny 先允许访问，再禁止IP访问 Order Deny,Allow 先禁止所有访问，再开启指定IP的访问 Deny：禁止哪些IP访问主机 Deny...From All 禁止所有IP访问主机，包括自己 Deny From 192.168.18.76 192.168.18.74 禁止指定IP访问你的主机。...禁止客户端的IP地址 Deny From 192.168.18 禁止网段介于192.168.18.0~192.168.18.255之间所有IP访问 Allow：允许哪些IP访问主机 Allow...遇到的问题 打开网站错误码403，检查根站点下有没有页面文件，若有文件，尝试设置默认页面，若还有问题，尝试修改目录权限 修改 httpd.conf DirectoryIndex index.html index.php
403 禁止基本上是权限错误。 这可能是由于以下原因造成的： 您的 Web 文件夹没有正确的所有权(ownership)。 您的 Web 文件夹没有其他用户的正确读取权限。...检查您是否能够直接从浏览器访问被禁止的资源。 如果第 1 点和第 2 点都排除了，这意味着访问者拥有正确的权限和所有权，如果仍然面临 403 问题。...在实际开发过程中，HTTP 401 错误经常容易和 HTTP 403 错误相混淆。...HTTP 403 Forbidden HTTP 403 Forbidden(禁止)意味着访问者已被识别，但未通过某些级别的权限进行身份验证以执行某项活动。...403（Forbidden）状态码表示服务器理解请求但拒绝授权。 如果请求中提供了身份验证凭据，则服务器认为它们不足以授予访问权限。
/www.linuxidc.com/Linux/2017-01/139417.htm --------------------以下内容可能太古老而不行-------------------- 1.安装apache2...和libapache2-mod-wsgi sudo apt-get install apache2 libapache2-mod-wsgi 2.安装Django 从官网下载，解压后安装，这个很容易，不说了...4.配置wsgi 注意这里apache安装后的配置文件位于”/etc/apache2/sites-available/“目录下，前面在网上找资料都说是httpd.conf，真是坑爹，都没人试一试，抄来抄去...： sudo nano /etc/apache2/sites-available/hello.conf 写入以下内容： ServerName hello.djangoserver DocumentRoot...访问testdjango.com 如果遇到服务器403的错误，那么可能是你的"/"目录被禁止访问（默认） 修改一下apache2.conf文件（位于/etc/apache2/） 把Require all
HTTP 401.4 - 未授权：授权被筛选器拒绝 HTTP 401.5 - 未授权：ISAPI 或 CGI 授权失败 HTTP 403 - 禁止访问 HTTP 403 - 对 Internet...• 403 - 禁止访问：IIS 定义了许多不同的 403 错误，它们指明更为具体的错误原因： • 403.1 - 执行访问被禁止。 • 403.2 - 读访问被禁止。 ...验证 IIS 权限和 NTFS 权限是否已设置以便向该目录授予写访问权。...如果没有安装证书的 Web 站点出现此错误，请单击下面的文章编号，查看 Microsoft 知识库中相应的文章：224389 错误信息：HTTP 错误 403、403.4、403.5 禁止访问：要求 SSL...如果没有安装证书的 Web 站点出现此错误，请单击下面的文章编号，查看 Microsoft 知识库中相应的文章：224389 错误信息：HTTP 错误 403、403.4、403.5 禁止访问：要求 SSL
HTTP 401.4 - 未授权：授权被筛选器拒绝 HTTP 401.5 - 未授权：ISAPI 或 CGI 授权失败 HTTP 403 - 禁止访问 HTTP 403 - 对 Internet...• 403 - 禁止访问：IIS 定义了许多不同的 403 错误，它们指明更为具体的错误原因： • 403.1 - 执行访问被禁止。 • 403.2 - 读访问被禁止。...验证 IIS 权限和 NTFS 权限是否已设置以便向该目录授予写访问权。...如果没有安装证书的 Web 站点出现此错误，请单击下面的文章编号，查看 Microsoft 知识库中相应的文章： 224389 错误信息：HTTP 错误 403、403.4、403.5 禁止访问：要求...如果没有安装证书的 Web 站点出现此错误，请单击下面的文章编号，查看 Microsoft 知识库中相应的文章： 224389 错误信息：HTTP 错误 403、403.4、403.5 禁止访问：要求
自定义错误页 9. 缺省页 10. 使用/禁用缓存文件 11. 压缩文件 12. 防盗链 13....安全相关 1. apache中启用.htaccess 修改 /private/etc/apache2/httpd.conf Options FollowSymLinks # AllowOverride...None AllowOverride All # 去掉注释 LoadModule rewrite_module libexec/apache2/mod_rewrite.so # 可以选择修改使用....自定义错误页 # 基于网站根目录 ErrorDocument 404 /pages/404.html ErrorDocument 500 /pages/500.html 9....# 把所有被阻止的请求转向到403禁止提示页面 RewriteRule ^(.*)$ index.php [F,L] # 禁止某些目录里的脚本执行权限 AddHandler cgi-script .php
今天来谈谈两个和认证授权息息相关的两个状态401和403以及它们如何在Spring Security融入体系中的。 2. 401 未授权 我在RFC 7235[1]中找到了相关的表述。...服务端的态度是用户应当再次进行尝试，并且应该引导客户端至少再尝试一次。比如，用户输错了密码，服务器应该告诉用户密码错误，并再次进行尝试。 3. 403 禁止访问 表述参见RFC 7231[2]。...403状态代码表示服务器已理解了客户端的请求，但拒绝授权。如果请求中提供了身份验证凭据，则服务器认为它们不足以授予访问权限。客户端不应自动携带相同的重复证书再次请求。...但是，出于某些原因，请求可能被禁止与凭据无关。如果服务器认为这些反馈信息比较敏感，可以用404来代替。 4....Spring Security 中的这两种状态 通常情况Spring Security中的401和403两种状态都是以异常的形式来进行体现的，由AuthenticationException和AccessDeniedException
下面我们有两个用&&分隔的命令。第一个命令将更新包列表，以确保您获得phpMyAdmin的最新版本和依赖项。第二个命令将下载并安装phpMyAdmin。当要求继续时，按 y 并 回车。...如果您得到一个错误“用户’ root ‘ @ ‘ localhost’的访问被拒绝”，您应该继续执行步骤3，为phpMyAdmin创建一个超级用户。 3....我这里设置的密码是 123456 这个是弱密码(很容易就被猜到), 不建议大家使用这个密码. 现在，我们将向新用户pmauser授予超级用户权限。...在本例中，我们创建了一个名为pmauser (php my admin user)的新用户，尽管您可以将其更改为您想要的任何内容。...$ sudo htpasswd -c /etc/phpmyadmin/.htpasswd pmauser 您将被要求输入一个新的密码两次(生成一个密码)。
$ apachectl -v Server version: Apache/2.2.24 (Unix) Server built: Aug 24 2013 21:10:43 然后直接去/etc/apache2...出于安全性的考虑，默认情况下，Apache的httpd服务是使用比较低权限的用户身份去运行的，也就是上面截取的配置文件中的User _www和Group _www一行。...user@my-mac:apache2 $ sudo apachectl start 然后，使用浏览器打开http://localhost。哦，给出了403访问被禁止的消息。...先看看Apache的日志吧： cd /var/log/apache2 cat error_log Permission denied: access to / denied (filesystem path...Users/user/Documents/svn-copy') because search permissions are missing on a component of the path 根据日志中的错误信息
创建此帐户，设置密码，并使用以下命令授予用户对刚刚创建的数据库的访问权限。...php-xml php-xmlrpc php-soap php-intl php-zip 注意：每个WordPress插件都有自己的一组要求。...检查您的插件文档以查找其PHP要求。如果它们可用，则可以使用如上所示的apt安装它们，。 我们将在下一节重新启动Apache以加载这些新扩展。...如果没有，最好将必要的配置拆分为逻辑块，每个站点一个文件。 目前，.htaccess文件的使用是被禁止的。...configtest 如果配置文件的语法正确，您将在输出中看到以下内容： Syntax OK 如果此命令报告任何错误，请返回并检查您的配置文件中是否存在任何语法错误。
403 禁止 — 即使有授权也不需要访问。 404 找不到 — 服务器找不到给定的资源；文档不存在。 407 代理认证请求 — 客户机首先必须使用代理认证自身。...415 介质类型不受支持 — 服务器拒绝服务请求，因为不支持请求实体的格式。 5xx 服务器中出现的错误 500 内部错误 — 因为意外情况，服务器不能完成请求。...HTTP 401.4 – 未授权：授权被筛选器拒绝 HTTP 401.5 – 未授权：ISAPI 或 CGI 授权失败 HTTP 403 – 禁止访问 HTTP 403 – 对 Internet 服务管理器...403.4 – 禁止访问：要求 SSL HTTP 403.5 – 禁止访问：要求 SSL 128 HTTP 403.6 – 禁止访问：IP 地址被拒绝 HTTP 403.7 – 禁止访问：要求客户证书...– 无法接受 HTTP 407 – 要求代理身份验证 HTTP 410 – 永远不可用 HTTP 412 – 先决条件失败 HTTP 414 – 请求 – URI 太长 HTTP 500 – 内部服务器错误
本次选择使用包管理器来安装，因为每次使用源码包的安装方式，都会被诡异的库依赖错误弄得发型都抓乱。...上安装的是Version: 2.7.7-2 第二步：配置modsecurity，启用拦截模式 service apache2 reload 该命令生效后，会在/var/log/apache2/目录下生成...版本的配置文件有些区别 （1）2.7版本 vim /etc/apache2/mods-available/security2.conf 修改 ...拦截了， 可以查看modsecurity日志文件看具体的拦截情况 tail /var/log/apache2/modsec_audit.log message: Access denied with code...403 (phase 2).
对于服务器选择，请选择 apache2 选择Yes当被问及是否使用dbconfig-common建立数据库 然后，系统会要求您选择并确认phpMyAdmin的MySQL应用程序密码 注意： MariaDB...是一个社区开发的MySQL分支，尽管这两个程序密切相关，但它们并不完全可以互换。...由于phpMyAdmin要求用户使用密码进行身份验证，因此您需要创建一个新的MariaDB帐户才能访问该界面。...USER 'sammy'@'localhost' IDENTIFIED BY 'password'; 然后，为您的新用户授予适当的权限。...这应该在正在提供的目录之外。我们很快就会创建这个文件。 Require valid-user：这指定只应为经过身份验证的用户授予对此资源的访问权限。这实际上阻止了未经授权的用户进入。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
