Linux CentOS 中 Tomcat 的不安全 HTTP 请求方法及其防护

简介

在 Web 应用中，HTTP 请求方法决定了客户端与服务器的交互方式。然而，一些 HTTP 请求方法（如 TRACE 和 OPTIONS）在默认配置下可能带来安全隐患。因此，了解并防护这些不安全的 HTTP 请求方法对于保障服务器安全至关重要。本文将介绍如何在 CentOS 中配置 Tomcat，以限制或禁用不安全的 HTTP 请求方法。

不安全的 HTTP 请求方法

1. TRACE 方法

TRACE 方法用于诊断目的，返回收到的请求内容。攻击者可以利用它执行 XST（跨站追踪）攻击，从而获取敏感信息。

2. OPTIONS 方法

OPTIONS 方法用于返回服务器支持的 HTTP 方法列表。虽然该方法本身无害，但可能泄露服务器配置和潜在的攻击面。

3. PUT 和 DELETE 方法

PUT 方法允许客户端上传文件，而 DELETE 方法允许删除服务器上的文件。若未妥善配置和保护，这两种方法可能导致服务器数据被篡改或删除。

防护措施

1. 禁用 TRACE 方法

在 Tomcat 中禁用 TRACE 方法，可以通过修改 server.xml 文件来实现。

sudo nano /path/to/tomcat/conf/server.xml

在 <Connector> 元素中添加以下属性：

<Connector port="8080" protocol="HTTP/1.1"
           maxThreads="150" SSLEnabled="true"
           scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLS"
           allowTrace="false" />

2. 限制 OPTIONS 方法

使用 web.xml 文件限制 OPTIONS 方法。添加一个 Filter 来拦截并拒绝对 OPTIONS 方法的请求。

<filter>
    <filter-name>OptionsFilter</filter-name>
    <filter-class>com.example.OptionsFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>OptionsFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

然后创建 OptionsFilter 类：

package com.example;

import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class OptionsFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse res = (HttpServletResponse) response;
        if ("OPTIONS".equalsIgnoreCase(req.getMethod())) {
            res.setStatus(HttpServletResponse.SC_FORBIDDEN);
            return;
        }
        chain.doFilter(request, response);
    }

    @Override
    public void destroy() {
    }
}

3. 限制 PUT 和 DELETE 方法

同样，可以使用 web.xml 文件限制 PUT 和 DELETE 方法。创建一个 Filter 来拦截并拒绝这些方法的请求。

<filter>
    <filter-name>PutDeleteFilter</filter-name>
    <filter-class>com.example.PutDeleteFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>PutDeleteFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

然后创建 PutDeleteFilter 类：

package com.example;

import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class PutDeleteFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse res = (HttpServletResponse) response;
        if ("PUT".equalsIgnoreCase(req.getMethod()) || "DELETE".equalsIgnoreCase(req.getMethod())) {
            res.setStatus(HttpServletResponse.SC_FORBIDDEN);
            return;
        }
        chain.doFilter(request, response);
    }

    @Override
    public void destroy() {
    }
}

4. 验证配置

修改配置文件和重启 Tomcat 服务器后，可以使用以下命令验证禁用效果：

curl -X TRACE http://localhost:8080
curl -X OPTIONS http://localhost:8080
curl -X PUT http://localhost:8080
curl -X DELETE http://localhost:8080

以上命令应返回 403 Forbidden 状态码，表示方法已成功禁用。

总结

通过本文的介绍，您可以在 CentOS 上的 Tomcat 中有效地禁用不安全的 HTTP 请求方法，增强服务器的安全性。这些方法包括禁用 TRACE 方法、限制 OPTIONS 方法，以及限制 PUT 和 DELETE 方法。通过合理配置和验证，确保您的 Tomcat 服务器免受潜在的安全威胁。

思维导图

Tomcat 不安全 HTTP 请求方法防护
├── 禁用 TRACE 方法
│   └── 修改 server.xml
├── 限制 OPTIONS 方法
│   ├── 修改 web.xml
│   └── 创建 OptionsFilter 类
├── 限制 PUT 和 DELETE 方法
│   ├── 修改 web.xml
│   └── 创建 PutDeleteFilter 类
└── 验证配置
    └── 使用 curl 命令验证

通过这些措施，您可以有效地保护 Tomcat 服务器免受不安全 HTTP 方法带来的潜在威胁。