jboss安全优化方案_.docVIP

JBOSS安全性优化 方案背景 本方案主要是描述JBOSS安全性的优化方案；由于JBoss 的缺省配置并不限制管理控制台的访问权，远程攻击者可以通过直接请求来略过认证，获取管理访问权，因此，攻击者可以更改机器的配置。攻击者也可以获取关于服务器机器的敏感信息，从而进一步攻击站点。可以收集的信息如下：主机名、主机地址、处理器的相关信息、操作系统名称和版本、作业目录的物理路径，以及许多其他信息。因此通过本方案来限制对JBOSS 管理控制台的访问及禁用WebDAV，或者禁止不需要的HTTP 方法等操作进行处理。 JBOSS安全性优化详细方案 限制对JBOSS 管理控制台的访问 以jboss-5.1.0.GA为例，进行admin console配置： admin-console配置 在jboss-5.1.0.GA\server\default\deploy\admin-console.war\WEB- INF路径下 找到jboss-web.xml文件， 去掉该文件中 security-domainjava:/jaas/jmx-console/security-domain的注释 在jboss-5.1.0.GA\server\default\conf路径下 在login-config.xml中去掉 application-policy name=jmx-console..../application-policy的注释 则：application-policy name=jmx-console authentication login-module code=org.jboss.security.auth.spi.UsersRolesLoginModule flag=required module-option name=usersPropertiesprops/perties/module-option module-option name=rolesPropertiesprops/perties/module-option /login-module /authentication /application-policy 在\jboss-5.1.0.GA\server\default\conf\props目录下 找到perties文件，如图 配置信息为：登录账号=登录密码（注：修改初始账号和密码） 对perties文件一般不需要修改，如图 配置信息为：登录账号=所属的角色信息（多个角色，以“，”分隔开） jmx-console配置 在jboss-5.1.0.GA\server\default\deploy\jmx-console.war\WEB-INF路径下 找到jboss-web.xml文件， 去掉该文件中 security-domainjava:/jaas/jmx-console/security-domain的注释 找到web.xml 文件，去掉该文件中 security-constraint...../security-constraint的注释 则为： security-constraint web-resource-collection web-resource-nameHtmlAdaptor/web-resource-name descriptionAn example security config that only allows users with the role JBossAdmin to access the HTML JMX console web application /description url-pattern/*/url-pattern http-methodGET/http-method http-methodPOST/http-method /web-resource-collection auth-constraint role-nameJBossAdmin/role-name /auth-constraint /security-constraint的注释 在jboss-5.1.0.GA\server\default\conf路径下 在login-config.xml中去掉 applic