保障Web服务器 Apache安全五项措施

要防止服务器广播敏感信息，一定要保证将httpd.conf中的“ServerSignature”指令设置为“off”。一次默认的Apache安装会将此指令设置为“off”，不过许多管理员却启用了它。

同样地，禁用目录浏览也是一个不错的注意。在目录浏览被启用时，访问一个并不包含其所需要文档的目录的用户，会看到此目录中完整的内容列表。无疑，你不应当将敏感材料以纯文本的形式存储到一个Web服务器上，除非你必须这样做，你也不应该允许人们看到超过其需要的内容。

目录浏览默认地是被启用的。要禁用这个特性，应编辑http.conf文件，而且对每一个“Directory”指令，应清除“Indexs”引用。

例如，在笔者的做实验用的Apache 2.2.4服务器上，这是默认的目录命令：

　　Options Indexes FollowSymLinks
　　AllowOverrride None
　　Order allow,deny
　　Allow from all

清除Indexes引用后的样子：

　　Options FollowSymLinks
　　AllowOverrride None
　　Order allow,deny
　　Allow from all

你也可以保留Indexes指令，并用一个破折号引导，从而禁用此指令(也就是“-Indexes”)。

禁用符号连接追踪

如果你是唯一一个校对Web内容的人员，而你在创建新的符号连接时又几乎不犯错误，你可能不会担心此措施。不过，如果你有很多人员能够向你的站点增加内容，并非所有的人都像你一样谨慎从事，那么就会有一种风险，即某个用户可能偶然会创建一个符号连接指向你的文件系统的一部分，而你又确实不想让人们看到这些文件。例如，如果你的Apache服务器的根目录中的某人创建了一个指向 “/”文件夹的符号连接，你该怎么办?