【软考信息安全】第二十二章 Web服务器安全分析与增强——Apache与IIS

本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。

一、Apache Web服务器安全分析与增强

1.1 阿里云Apache事件

事件背景：阿里云公司发现阿帕奇（Apache）Log4j2组件严重漏洞隐患后，以邮件方式向软件开发商及Apache开源社区报告这一问题，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁管理和漏洞管理。经评估，提供阿里云安全公司作为上下游合作单位（工信部网络安全威胁信息共享平台合作单位），暂停期阿里云公司作为工信部网络安全威胁信息共享平台合作单位6个月。

处理结果：暂停阿里云作为工信部网络安全威胁信息共享平台合作单位6个月。

后续整改：阿里云表示将强化漏洞管理、提升合规意识，整改期满后视情况恢复资格。

合规要点：根据《网络安全法》规定，发现安全漏洞应及时向主管部门报告，仅向开源社区报告不满足国内合规要求。这是"开源社区上报流程"与"国内合规要求"的典型区别。

1.2 Apache Web概述

Apache Httpd是一个用于搭建Web服务器的开源软件，Apache Httpd配置文件如下：

配置文件	说明
httpd.conf	主配置文件，设置服务器属性、端口、执行者身份等
srm.conf	数据配置文件（非必需），主要设置Server Script文件目录、CGI执行目录等
access.conf	负责基本的配置文件控制，根据目录结构设置对目录的访问控制和目录的目录权限，设置access.conf不必要时，可以在httpd.conf里设置
mime.conf	设定Apache的MIME格式，一般无需改动，无需改动文件

基本定义：Apache Httpd是Linux下用于搭建Web服务器的开源应用程序。

核心配置文件：

httpd.conf：主配置文件（核心）
srm.conf：数据配置文件（少用）
access.conf：文件读取控制（重要），管理目录访问权限
mime.conf：MIME格式定义文件，通常无需修改

1.3 Apache Web安全威胁

Apache Web主要面临以下威胁：

威胁类型	说明
程序漏洞威胁	缓冲区溢出等软件自身漏洞，攻击者可执行恶意指令
配置漏洞威胁	目录索引暴露、资源位置预测、敏感信息泄露
安全机制威胁	口令暴力攻击、授权不当、弱口令恢复验证
应用漏洞威胁	SQL注入、输入验证错误
通信威胁	HTTP明文传输易被监听
内容威胁	网页恶意篡改、网络钓鱼攻击
拒绝服务威胁	消耗CPU/内存资源，导致系统瘫痪

程序漏洞威胁：

缓冲区溢出等软件自身漏洞
攻击者可执行恶意指令

配置漏洞威胁：

目录索引暴露（未关闭目录浏览时可列出文件列表）
资源位置预测
敏感信息泄露

安全机制威胁：

口令暴力攻击
授权不当
弱口令恢复验证

应用漏洞威胁：

SQL注入
输入验证错误

通信威胁：HTTP明文传输易被监听。

内容威胁：网页恶意篡改、网络钓鱼攻击。

拒绝服务威胁：消耗CPU/内存资源，导致系统瘫痪。

1.4 Apache Web安全机制

1.4.1 本地文件安全

默认设置：安装后文件属主和权限配置合理
修改方式：可通过chmod命令调整权限

1.4.2 模块管理机制

模块化结构：支持灵活配置功能模块
安全实践：禁用非必要模块

1.4.3 认证机制

特点：提供简单方便的用户认证功能
应用场景：适用于需要访问控制的网页

1.4.4 连接耗尽应对机制

配置优化：

缩短Timeout值（如30秒）
增大MaxClients值（如256）

IP限制：控制单IP最大连接数。

下载保护：禁止多线程下载工具。

1.4.5 自带的访问控制机制

Apache Web自带的访问机制，基于IP地址或域名的访问控制。

access.conf文件负责设置文件的访问权限，可以实现对网络和网络地址的访问控制
如仅允许192.168.X.Y和192.X.Y.Z的主机正常访问，则可以配置如下：

order deny, allow
deny from all
allow from 192.168.0.0/255.255.255.0

配置文件：通过access.conf实现IP/域名控制。

配置示例：

复制代码

order deny, allow
deny from all
allow from 192.168.1.0/24

1.4.6 审计和日志

access.log：记录所有访问请求
error.log：记录错误状态请求

1.4.7 服务器防范DoS

防护模块：Apache DosEvasive Maneuvers Module。

工作原理：通过Hash表检测重复请求。

1.5 Apache Web安全增强

及时安装Apache Web补丁
启用Internet服务软件升级项
为Apache Web服务软件设置专门的用户和组获得最小权利，给Apache Web服务获得分配一个合理的权限，让其能够完成Web服务
隐藏Apache Web软件的版本号
Apache Web目录访问安全增强。对于可以访问的Web目录，要使用网页安全的途径进行访问，不要让用户看到那些目录列表列表
Apache Web访问目录列表控制
Apache Web安全认证。Apache Web自身安全认证可以通过以下两种方法来实现：
- 系统自带的认证模块
- 基于数据库的认证方式
使用第三方安全软件增强Apache Web服务

安全增强措施：

补丁管理：及时安装安全补丁
文件保护：启用.htaccess文件
权限控制：
- 设置专用用户/组
- 遵循最小特权原则
信息隐藏：移除版本号信息（防止攻击者根据版本号查找对应漏洞）
目录安全：
- 禁用目录索引
- 删除默认文件（如样例CGI程序）
第三方防护：结合WAF等安全设备

二、IIS安全分析与增强

2.1 IIS安全威胁分析

IIS（Internet Information Services）是Microsoft公司的Web服务软件，主要提供Web服务。

服务功能：

主要提供Web服务（默认80端口，HTTPS为443端口）
额外提供SMTP邮件服务（25端口）和FTP文件传输服务（控制端口21，数据端口20）
所有服务均基于TCP协议

IIS的典型安全威胁如下：

威胁类型	说明
非授权访问	攻击者通过IIS配置失误或系统漏洞（如弱口令），非法访问IIS的资源
网络蠕虫	攻击者利用IIS服务程序缓冲区溢出漏洞，构造网络蠕虫攻击
网页篡改	攻击者利用IIS网站的漏洞，恶意修改IIS网站的页面信息
拒绝服务	攻击者通过某些手段使IIS服务器拒绝对HTTP应答，引起IIS对系统资源需求的剧增，最终造成系统变慢，甚至完全瘫痪。例如，分布式拒绝服务攻击（DDoS）
IIS软件漏洞	IIS的CVE漏洞涉及拒绝服务、代码执行、溢出、特权提升、安全旁路、XSS、内存破坏、信息泄露等

本质特征：

与Apache等Web服务器面临的安全威胁本质相同
威胁分类标准与Linux环境下的Web服务器基本一致

2.2 IIS安全机制

IIS安全机制主要包括IIS认证机制、IIS访问控制、IIS日志审计。

2.2.1 IIS认证机制

IIS支持多种认证方式，主要包括如下内容：

认证方式	说明
匿名认证（Anonymous Authentication）	当其他认证措施都缺失的时候，实施匿名认证（最常见配置）
基本认证（Basic Authentication）	提供基本认证服务
证书认证（Certificate Mapping Authentication）	实施基于活动目录（Active Directory）的证书认证
数字签名认证（Digest Mapping Authentication）	实施数字签名认证
IIS证书认证（IIS Certificate Mapping Authentication）	实施按照IIS配置开展的证书认证
Windows认证（Windows Authentication）	集成（NTLM）身份验证

认证机制：

匿名认证：允许所有用户无需认证访问（最常见配置）
基本认证：基础用户名/密码验证
双证书认证：基于活动目录的证书认证和IIS配置证书认证
数字签名认证：采用数字签名技术
Windows认证：集成NTLM身份验证

2.2.2 IIS访问控制

IIS具有请求过滤（Request Filtering）、URL授权控制（URL Authorization）、IP地址限制（IP Restriction）、文件授权等访问控制措施。

访问控制：

请求过滤：基于IP/域名的访问限制
URL授权：控制特定URL的访问权限
IP限制：黑白名单机制
文件授权：细粒度文件访问控制
实际应用中多由专业安全设备（防火墙/WAF）实现

2.2.3 IIS日志审计

IIS设置的日志审计机制，能够记录Web访问情况。此外，与IIS相关的日志审计还有操作系统、数据库、应用服务。

日志审计：

记录Web访问日志
关联系统：需同时关注操作系统、数据库、应用服务日志
专业方案：采用日志审计设备进行集中分析，或使用态势感知系统结合流量分析

2.3 IIS安全增强

IIS的安全增强措施主要有如下几个方面：

及时安装IIS补丁（与所有软件系统通用原则）
启用动态IP限制（Dynamic IP Restrictions） ：用于减缓拒绝服务攻击及暴力口令猜测攻击
- 防御拒绝服务攻击：限制单个IP连接数
- 防暴力破解：错误尝试锁定机制（如5次错误锁定10分钟）
启用URLScan，限制特定的HTTP请求 ：可以防止有危害的HTTP请求危及网站的应用
- 过滤危险HTTP请求
- 防止恶意请求危及Web应用
启用IIS Web应用防火墙（Web Application Firewall） ：可以识别和阻挡SQL注入、Dos、CSRF/XSRF、XSS等Web应用威胁，还提供基于行为的入侵防护（Behavior-based Intrusion Prevention）以识别零日攻击与目标定向攻击
- 防御SQL注入、XSS、CSRF等OWASP Top10威胁
- 提供基于行为的入侵防护（零日攻击检测）
- 实际部署中常配合专业WAF设备使用
启用SSL服务 ：IIS的网站信息传递在通常情形下是明文传递的，敏感网站数据在网上传输的时候容易泄露，启用H5 SSL服务后，可以保障IIS Web网络通信安全
- 将HTTP明文传输升级为HTTPS加密
- 保护敏感数据传输安全
- 实现端口由80转向443

实施要点：

与操作系统安全加固措施协同实施
需结合网络层防护设备形成纵深防御
定期审计配置有效性

三、Apache与IIS对比总结

对比维度	Apache	IIS
运行平台	Linux	Windows
开源性	开源软件	微软商业软件
主配置文件	httpd.conf	图形化管理界面+配置文件
访问控制	access.conf/order deny allow	请求过滤/URL授权/IP限制
日志文件	access.log/error.log	IIS日志+OS/数据库关联日志
DoS防护	mod_evasive模块	动态IP限制+内置WAF
认证方式	基础认证/数据库认证	匿名/基本/证书/数字签名/Windows认证
额外服务	仅Web	Web(80/443)+SMTP(25)+FTP(21/20)
版本隐藏	移除Server头信息	配置隐藏

本章小结

本章节系统梳理了Apache与IIS两大Web服务器的安全分析与增强：

阿里云Apache事件：Log4j2漏洞仅向开源社区报告未向国内主管部门报告，违反《网络安全法》，暂停合作单位资格6个月------开源社区上报≠国内合规
Apache四大配置文件：httpd.conf（主配置核心）、srm.conf（数据配置少用）、access.conf（文件读取控制重要）、mime.conf（MIME格式无需改）
Apache七大安全威胁：程序漏洞（缓冲区溢出）、配置漏洞（目录索引暴露）、安全机制（暴力破解/授权不当）、应用漏洞（SQL注入）、通信威胁（HTTP明文）、内容威胁（篡改/钓鱼）、拒绝服务（耗CPU内存）
Apache七大安全机制：本地文件安全、模块管理（禁用非必要）、认证机制、连接耗尽应对（缩短Timeout+增大MaxClients+IP限制）、访问控制（order deny/allow规则）、审计日志（access.log/error.log）、DoS防护（mod_evasive Hash表检测）
Apache八项安全增强：打补丁、升级、专用用户组最小特权、隐藏版本号、禁用目录索引、删除默认文件、安全认证、第三方WAF
IIS服务功能：Web(80/443)+SMTP(25)+FTP(控制21/数据20)，均基于TCP
IIS五大安全威胁：非授权访问、网络蠕虫（缓冲区溢出）、网页篡改、拒绝服务（DDoS）、软件漏洞（CVE涉及8类）
IIS三大安全机制：认证（匿名/基本/证书/数字签名/Windows五种）、访问控制（请求过滤/URL授权/IP限制/文件授权）、日志审计（Web日志+OS/数据库关联）
IIS五项安全增强：补丁更新、动态IP限制（防DoS/暴力破解）、URLScan（过滤危险HTTP）、内置WAF（防SQL注入/XSS/CSRF+行为入侵防护）、SSL加密（HTTP→HTTPS，80→443）

上述内容中，Apache配置文件结构（httpd.conf为核心）、access.conf访问控制规则、Apache安全增强优先级（补丁>隐藏版本>目录控制）、IIS五种认证方式对比、IIS安全增强实施优先级（补丁>SSL>WAF）为高频考点，Web服务器安全配置可能出现在下午案例分析题中。

本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。