** 等保2.0下的Tomcat安全加固，我的血泪实战笔记！
哎呀，说到等保2.0和Tomcat，我这心里可真是五味杂陈啊！兄弟们，姐妹们，如果你们公司最近正在搞等保测评，而你们又恰好用的是Tomcat，那我这篇文章你们可真得好好看看了，全是干货,句句掏心窝子啊！
先跟大家交代下背景吧，上个月我们公司为了过等保二级，我可是整整加了一周的班，差点没把我这把老骨头给熬散架了，唉，说白了，等保2.0可比老版严格太多了，它不再是那个“走走形式、交交报告”的年代了，现在是真刀真枪地要看你服务器的安全配置啊！尤其是针对像Tomcat这种使用率极高的Web中间件，检查项细得让你头皮发麻，真是应了那句老话：“细节决定成败”啊！
你们猜怎么着？我第一次提交自查表的时候，光Tomcat这一块就被打回了三次！三次啊亲们！那安全检测工程师的反馈意见，字字戳心，说什么“AJP端口未禁用”、“默认管理员账号未修改”、“错误页面泄露版本信息”……我当时看着那些问题，真是又气又笑，气的是自己怎么这么粗心，笑的是，这些问题其实都算不上什么高深技术，纯粹就是懒癌发作没去改配置而已，所以啊，今天我就把我的“血泪”经验总结一下,你们可千万别再踩这些坑啦！
第一坑：那个烦人的AJP端口（8009）
咱们实话实说，有多少人装完Tomcat后，是直接拿默认配置就跑起来的？举个手我看看！哈哈，我以前就是这样，默认配置里，server.xml文件中那个<Connector port="8009" protocol="AJP/1.3" />是开着的，在等保2.0的测评里，如果业务用不到AJP协议，这个端口必须要注释掉！为啥？因为AJP协议曾经爆出过严重的文件读取漏洞（Ghostcat，CVE-2020-1938），黑客可以利用这个端口在未授权的情况下读取webapp下的任意文件，甚至执行命令，哎呀，当时我看到这个漏洞详情，后背都发凉，这可不是闹着玩的！第一个动作，立刻！马上！打开conf/server.xml，找到那一行，果断给它加个<!-- -->注释符,让它彻底闭嘴！
第二坑：默认管理员账号这玩意儿
Tomcat默认的管理员是tomcat或者admin，密码也是默认的，甚至有些懒人直接没设密码，我说兄弟，这就等于把你家保险柜的钥匙挂在门口，还贴个纸条说“欢迎光临”啊！等保2.0要求必须修改默认账号口令，并且密码复杂度要够强，长度必须不少于8位，且包含大小写字母、数字和特殊字符，我当时为了省事，弄了个“Abc@123456”，结果测评老师一看，直接批注：密码到期时间未设置，密码复杂度策略未在tomcat-users.xml中体现，哎哟喂，这可真是逼死强迫症啊！后来我专门写了个脚本，定期强制轮换密码，这才算过了关，所以大家记住，别用弱口令，别用弱口令，别用弱口令！ 重要的事情说三遍！
第三坑：隐藏版本号，别当“显眼包”
你们有没有发现，当Tomcat报错时，那个错误页面底部总会有一行小字，写着Apache Tomcat/8.5.xx？这看似不起眼，但在等保2.0里，这叫“信息泄露”，黑客看见版本号，就能精准定位漏洞库去攻击，我当时就纳闷，怎么改这个版本号啊？后来查了资料才知道，得去lib目录下找个叫catalina.jar的文件，用压缩软件打开，找到org/apache/catalina/util/ServerInfo.properties这个文件，把里面的server.info字段值改成别的，比如改成Apache或者干脆随便写个“WS”，哈哈，这操作是不是有点掩耳盗铃的感觉？但确实管用啊！测评老师看见你隐藏了版本信息,那眼神都会温柔许多。
还有个小细节，差点让我功亏一篑
就是那个安全头（Security Headers）的问题，等保2.0特别注重HTTP响应头的安全配置，比如要添加X-Content-Type-Options: nosniff、X-Frame-Options: DENY这些，我当时一看，这也不是Tomcat默认配置啊，咋办？只能改代码或者在前面加个Nginx代理，哎，这又牵扯出另一个故事了，为了省事，我直接在应用里用Filter过滤器全局加上了，结果你猜怎么着？测评老师还夸我安全意识到位呢！嘿嘿,算是因祸得福吧。
最后唠唠我的感悟
经历了这一遭，我是真心觉得，等保2.0不是用来刁难人的，它是真真切切在帮咱们把安全地基打牢，虽然过程痛苦，但当拿到备案证明的那一刻，哎呀，心里那块大石头总算落地了,成就感满满啊！
所以各位运维小伙伴、开发大佬们，如果你们正在为等保2.0和Tomcat较劲，千万别烦躁，一步一步来，先改密码，再关端口，然后隐藏版本，最后加上安全响应头，只要把这四板斧耍好了,基本就能应付大部分检查了。
好啦，今天的吐槽加分享就到这里啦，如果你们在实践过程中遇到啥奇葩问题，或者有啥独门秘籍，欢迎在评论区留言交流！咱们一起进步嘛！
想深入学习网络安全，构建自己的防御体系吗？
可以加QQ：3382695571（备注“博客学习”），咱们一起探讨攻防技巧，分享实战经验！
