Apache 漏洞修復實戰：常見安全掃描項目與加固配置指南

Apache HTTP Server 安全加固：從掃描報告到配置修復的標準化流程

收到安全掃描報告顯示 Apache 存在漏洞？本文梳理企業級 Apache 加固的常見項目、配置修改要點、驗證方法，助你快速完成合規整改。

典型漏洞類別與修復策略

1. 版本過舊 / 已知 CVE 漏洞

• 現象：掃描器檢測到 Apache 版本存在 CVE-2021-41773、CVE-2021-42013 (路徑遍歷/RCE) 等高危漏洞。
• 修復：升級至最新穩定版 (2.4.58+)，或應用廠商提供的補丁包；若無法升級，配置 Require all denied 限制敏感路徑訪問。

2. 服務器版本信息洩露

• 現象：HTTP 響應頭 Server: Apache/2.4.41 (Unix) 暴露版本、OS 信息。
• 修復：在 httpd.conf 設置：

  ServerTokens Prod
  ServerSignature Off

  僅返回 Server: Apache，關閉錯誤頁面版本尾巴。

3. 目錄瀏覽開啟

• 現象：訪問無索引文件的目錄直接列出文件列表。
• 修復：移除 Options Indexes 或顯式設置 Options -Indexes。

4. 默認文件/腳本殘留

• 現象：存在 manual/、icons/、cgi-bin/ 等默認內容，擴大攻擊面。
• 修復：註釋掉 httpd.conf 中 Include conf/extra/httpd-manual.conf 等，物理刪除無用目錄。

5. HTTP 方法未限制

• 現象：支持 TRACE、PUT、DELETE 等危險方法，可能導致 XST、文件上傳/刪除風險。
• 修復：限制僅允許業務必需方法：

  <Directory /var/www/html>
    <LimitExcept GET POST HEAD>
      Require all denied
    </LimitExcept>
  </Directory>

6. SSL/TLS 配置不當

• 現象：支持 SSLv2/v3、TLS 1.0/1.1、弱加密套件 (RC4、DES、3DES)、證書過期/自簽。
• 修復：ssl.conf 強制現代配置：

  SSLProtocol -all +TLSv1.2 +TLSv1.3
  SSLCipherSuite HIGH:!aNULL:!MD5:!3DES:!RC4
  SSLHonorCipherOrder on
  # 啟用 HSTS
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

7. 安全響應頭缺失

• 添加 mod_headers 模塊並配置：

  Header always set X-Content-Type-Options nosniff
  Header always set X-Frame-Options DENY
  Header always set Content-Security-Policy "default-src 'self'; script-src 'self'"
  Header always set Referrer-Policy strict-origin-when-cross-origin

8. 訪問控制與最小權限

• 禁用 FollowSymLinks (改用 SymLinksIfOwnerMatch) 防止符號鏈接跳轉。
• 敏感目錄 (配置、日誌、備份) 設置 Require all denied 或 IP 白名單。
• 以非 root 專用用戶運行 (User/Group 指令)。

修復驗證清單

1. 配置語法檢查：apachectl -t / httpd -t。
2. 平滑重載：apachectl graceful。
3. 掃描器復掃確認漏洞關閉。
4. 功能回歸：核心業務接口正常響應、HTTPS 評級 A+ (Qualys SSL Labs)。
5. 備份原配置文件，記錄變更日誌便於審計追溯。

持續安全建議

• 訂閱 Apache 安全公告、CVE 郵件列表。
• 納入月度巡檢：版本對齊、證書到期、配置基線偏移檢測。
• 引入 WAF (ModSecurity + OWASP CRS) 提供應用層防護。

安全加固不是一次性動作，而是持續的基線管理與應急響應能力建設。