1. AutoIndex
?
預(yù)設(shè)安裝好 Apache 之后，其預(yù)設(shè)目錄是在 /var/www/html/，如果沒有設(shè)定 index.html 的話，那么就會印出目前目錄里的所有檔案和目錄，基於安全理由，希望把 AutoIndex 這個取消，如此在別人打入網(wǎng)址后，就會出現(xiàn) 403 的存取權(quán)限不足，只有在很“明確”的指出檔案時才可以瀏覽。
?
關(guān)閉 /var/www/html 里（含子目錄）的自動印出首頁功能
[root@rhel conf]# vi httpd.conf
_______________________________
<Directory "/var/www/html">
#把 Options Indexes FollowSymLinks 注解起來
#Options Indexes FollowSymLinks
#修改成只剩 FollowSymLinks
Options FollowSymLinks
AllowOverride None
Order allow,deny
Allow from all
</Directory>
_______________________________
[root@rhel conf]#
?
注意：
如果你是從Windows轉(zhuǎn)過來Ubuntu的話，可能都會有一個疑問，為什么在Ubuntu上找不到httpd.conf檔哩?? 因為Ubuntu上根本就不用httpd.conf這個名稱了。
?
在裝好Apache2之后，Apache2的設(shè)定檔會存放在 /etc/apache2 ，里面有一個apache2.conf檔是整個Apache2的設(shè)定 檔，一般來說是不用去動它的，如果要調(diào)設(shè)定的話，是要到 /etc/apache2/sites-available 里去調(diào)的，預(yù)設(shè)的網(wǎng)站是調(diào) /etc /apache2/sites-available/default 這個檔的，而這個檔就等同是httpd.conf，只是命名方式不同而已哩!!
?
/etc/apache2/sites-available和/etc/apache2/sites-enabled有什么不同?沒有不同，只要是在sites-available有用a2ensite指令啟用的虛擬主機，就會在sites-enabled建立一個連結(jié)。
?
重新啟動 httpd
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
?
或者：
// Apache
//Task: Start Apache 2 Server /啟動apache服務(wù)
# /etc/init.d/apache2 start
//or
$ sudo /etc/init.d/apache2 start
//Task: Restart Apache 2 Server /重啟apache服務(wù)
# /etc/init.d/apache2 restart
//or
$ sudo /etc/init.d/apache2 restart
//Task: Stop Apache 2 Server /停止apache服務(wù)
# /etc/init.d/apache2 stop
//or
$ sudo /etc/init.d/apache2 stop
// Mysql
/etc/init.d/mysql start
/etc/init.d/mysql stop
/etc/init.d/mysql restart
?
// httpd是Apache超文本傳輸協(xié)議(HTTP)服務(wù)器的主程序。被設(shè)計為一個獨立運行的后臺進程，它會建立一個處理請求的子進程或線程的池。
// 通常，httpd不應(yīng)該被直接調(diào)用，而應(yīng)該在類Unix系統(tǒng)中由 apachectl 調(diào)用
// man apache2 中介紹
// apache2 is the Apache HyperText Transfer Protocol (HTTP) server program.
// It is designed to be run as a standalone daemon process. When used like
// this it will create a pool of child processes or threads to handle requests.
// In general, apache2 should not be invoked directly,
// but rather should be invoked via /etc/init.d/apache2 or apache2ctl.
// The default Debian config-uration requires environment variables
// that are defined in /etc/apache2/envvars and are not available if apache2 is started directly.
// However,apache2ctl can be used to pass arbitrary arguments to apache2.
//
// apache2ctl = apache2 ConTroL
//
apache2ctl -restart
apache2ctl -stop
apache2ctl -t
// 詳細見 man apache2
?
2. 虛擬目錄
?
一般特別重要或有特別作用的目錄，會放在 /var/www/html 之外的其它目錄，比方說現(xiàn)在 /file/download/ 目錄，要在使用者打入 http://www.abc.com.tw/download/ 時，可以自動對應(yīng)到 /file/download/ 這個目錄，就好像是在 /var/www/html 里面一樣，這時我們可以使用 alias 的方式做出一個虛擬目錄，使用 Alias 就可以辦得到了。
[root@rhel conf]# vi httpd.conf
_______________________________
Alias /download/ "/file/download/"
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
?
注意：Alias 語法為 Alias {target} {source} ，在 {target} 的描述中（以 download），如果打了一個 "/" 符號，那么使用者在輸入網(wǎng)址時只能是 http://www.abc.com.tw/download / 后面就要多帶一個 "/"，否則會出現(xiàn) 404 的找不到檔案錯誤。
?
3. ServerName 的設(shè)定
?
其實 ServerName 在大部份的情況下可以不設(shè)定，但是如果有做重新導向的話，那么如果這個值不存在，Apache 在啟動時會以 127.0.0.1 來做預(yù)設(shè)的 ServerName。因此等到有預(yù)到重新導向的情況時，就會出現(xiàn)問題。要更正這個問題，只要加入一個 ServerName 的值就可以了。
[root@rhel conf]# vi httpd.conf
_______________________________
ServerName www.abc.com.tw
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
?
4. 修改預(yù)設(shè)目錄
?
Apache 安裝好之后，預(yù)設(shè)全是在 /var/www/html 里面，如果要修改這個目錄，只要修改 DocumentRoot 就可以了。
[root@rhel conf]# vi httpd.conf
_______________________________
DocumentRoot "/project/web"
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
?
5. 預(yù)設(shè)聆聽埠
?
Apache 安裝之后，會聆聽 80 的標準 http 埠，但是當這臺 http 有特別功用時，可能會修改其 Port，要修改 Port，只要修改 Listen 這個值就可以了。
[root@rhel conf]# vi httpd.conf
_______________________________
Listen 8080
_______________________________
[root@rhel conf]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel conf]#
?
注意：修改預(yù)設(shè)的聆聽埠，如果在 Firewall 沒有允許連入的情況下會出現(xiàn)連線不到的情形，所以在修改完之后還必需檢查 firewall 是否允許。
?
6. 保護你的目錄資料 - 密碼驗證
?
是否想過，某些特別的目錄，只有特別的人才可以進去，但又不想再設(shè)定 / 加裝其它的功能，這時候就 Apache 可以提供你一個登入帳號密碼的機制，只有通過的人才可以看到這“特別”的地區(qū)。
?
要編輯的檔案：
?
- /etc/httpd/conf/httpd.conf (以 Redhat 為列)
- .htaccess (設(shè)定檔)
- .htpasswd (帳號 / 密碼檔)
首先，要使用這個認證機制，就要允許可以做 AuthConfig，比方說我要對 http://www.abc.com.tw/secure_data/ 這個 URL 做認證，那么就需要使用到 AuthConfig
[root@rhel conf]# vi /etc/httpd/conf/httpd.conf
_______________________________________
# 做 Alias 到 /home/secure_data/
Alias "/secure_data" "/home/secure_data"
<Directory "/home/secure_data">
# 允許做 AuthConfig 的設(shè)定
AllowOverride AuthConfig
</Directory>
_______________________________________
#重新啟動 Apache
[root@rhel secure_data]# service httpd restart
Stopping httpd: [ OK ]
Starting httpd: [ OK ]
[root@rhel secure_data]#
?
接下來，在 /home/secure_data/ 建立一個 .htaccess
[root@rhel conf]# cd /home/secure_data; touch .htaccess; vi .htaccess
________________________________________
AuthName "ABC Secure Area"
AuthType Basic
# 指定帳號密碼檔的位置
AuthUserFile "/home/http_auth_users/.htpasswd"
require valid-user
?
最后一步，就是建立一個帳號密碼檔啦！承於本篇的忠旨－安全理由，所以千萬不要把帳號 / 密碼檔這種高度敏感的檔案放到 Public 的區(qū)域，尤其是可經(jīng)由 http、ftp 等方式可取得的管道。本篇我們裝放在 /home/http_auth_user/.htpasswd 里。
[root@rhel conf]# mkdir /home/http_auth_users; cd /home/http_auth_users; touch .htpasswd
?
檔案建立好了，再來如何建立使用者呢？這時候就必需使用 htpasswd 這個指令來幫我們完成了！
htpasswd 說明：
htpasswd -{option} {passwd_file} {user}
option 可使用：
- -m 使用 MD5 編碼
- -c 建立新的密碼檔
- -b 附帶有 "密碼" (不用再輸入一次密碼)
建立 steven 的帳號密碼：
[root@mailgw http_auth_users]# htpasswd -m .htpasswd steven
New password:
Re-type new password:
Adding password for user steven
[root@mailgw http_auth_users]#
?
現(xiàn)在開啟您的 Broser，輸入 http://{Your_URL}/{Need_Password_Dir} 本例為 http://www.abc.com.tw/secure_data 時就會出現(xiàn)認證畫面了。
?
來源：http://www.l-penguin.idv.tw/l-penguin.s/article/apache2_security.htm
?
?另一篇來自：http://www.ibm.com/developerworks/cn/linux/l-cn-apache-secure/
?
?
Web 服務(wù)器也稱為 WWW 服務(wù)器或 HTTP 服務(wù)器 (HTTP Server)，它是 Internet 上最常見也是使用最頻繁的服務(wù)器之一，Web 服務(wù)器能夠為用戶提供網(wǎng)頁瀏覽、論壇訪問等等服務(wù)。
?
由于用戶在通過 Web 瀏覽器訪問信息資源的過程中，無須再關(guān)心一些技術(shù)性的細節(jié)，而且界面非常友好，因而 Web 在 Internet 上一推出就得到了爆炸性的發(fā)展。現(xiàn)在 Web 服務(wù)器已經(jīng)成為 Internet 上最大的計算機群，Web 文檔之多、鏈接的網(wǎng)絡(luò)之廣，也令人難以想像。因此，Web 服務(wù)器軟件的數(shù)量也開始增加，Web 服務(wù)器軟件市場的競爭也越來越激烈。本文所討論的就是一款最常用的 Web 服務(wù)器軟件—— Apache。
?
Apache 是一個免費的軟件，用戶可以免費從 Apache 的官方網(wǎng)站下載。任何人都可以參加其組成部分的開發(fā)。Apache 允許世界各地的人對其提供新特性。當新代碼提交到 Apache Group 后，Apache Group 對其具體內(nèi)容進行審查并測試和質(zhì)量檢查。如果他們滿意，該代碼就會被集成到 Apache 的主要發(fā)行版本中。
?
Apache 的其他主要特征有：
- 支持最新的 HTTP 協(xié)議：是最先支持 HTTP1.1 的 Web 服務(wù)器之一，其與新的 HTTP 協(xié)議完全兼容，同時與 HTTP1.0、HTTP1.1 向后兼容。Apache 還為支持新協(xié)議做好了準備。
- 簡單而強大的基于文件的配置：該服務(wù)器沒有為管理員提供圖形用戶界面，提供了三個簡單但是功能異常強大的配置文件。用戶可以根據(jù)需要用這三個文件隨心所欲地完成自己希望的 Apache 配置。
- 支持通用網(wǎng)關(guān)接口（CGI）：采用 mod_cgi 模塊支持 CGI。Apache 支持 CGI/1.1 標準，并且提供了一些擴充。
- 支持虛擬主機：是首批既支持 IP 虛擬主機又支持命名虛擬主機的 Web 服務(wù)器之一。
- 支持 HTTP 認證：支持基于 Web 的基本認證。它還有望支持基于消息摘要的認證。
- 內(nèi)部集成 Perl：Perl 是 CGI 腳本編程的事實標準。Apache 對 Perl 提供了良好的支持，通過使用其 mod_perl 模塊，還可以將 Perl 的腳本裝入內(nèi)存。
- 集成代理服務(wù)器：用戶還可以選擇 Apache 作為代理服務(wù)器。
- 支持 SSL：由于版本法和美國法律在進出口方面的限制，Apache 本身不支持 SSL。但是用戶可以通過安裝 Apache 的補丁程序集合（Apache－SSL）使得 Apache 支持 SSL。
- 支持 HTTP Cookie：通過支持 Cookie，可以對用戶瀏覽 Web 站點進行跟蹤。
Apache 服務(wù)面臨的網(wǎng)絡(luò)威脅
?
一般說來，Apache 服務(wù)器主要面臨如下幾種網(wǎng)絡(luò)威脅：
- 使用 HTTP 協(xié)議進行的拒絕服務(wù)攻擊：攻擊者會通過某些手段使服務(wù)器拒絕對 HTIP 應(yīng)答。這樣會使 Apache 對系統(tǒng)資源（CPU 時間和內(nèi)存）需求巨增，造成 Apache 系統(tǒng)變慢甚至完全癱瘓，從而引起 HTTP 服務(wù)的中斷或者合法用戶的合法請求得不到及時地響應(yīng)；
- 緩沖區(qū)溢出攻擊：由于 Apache 源代碼完全開放，攻擊者就可以利用程序編寫的一些缺陷，使程序偏離正常流程。程序使用靜態(tài)分配的內(nèi)存保存請求數(shù)據(jù)，攻擊者就可以發(fā)送一個超長請求使緩沖區(qū)溢出，從而導致緩沖區(qū)溢出攻擊；
- 被攻擊者獲得 root 權(quán)限，威脅系統(tǒng)安全：由于 Apache 服務(wù)器一般以 root 權(quán)限運行，攻擊者通過它獲得 root 權(quán)限，進而控制整個 Apache 系統(tǒng)；
- Apache 服務(wù)器與客戶端通信安全：如果采用明文傳輸，則服務(wù)器與客戶端的敏感通信信息將有可能被黑客或者不法用戶獲取；
- 由于 Apache 配置文件設(shè)置不當引起的安全問題：惡意者可以隨意下載或修改刪除系統(tǒng)文件。這主要涉及到對訪問者的內(nèi)容和權(quán)限的限制。
要應(yīng)對上述這些安全威脅，要從 Apache 服務(wù)器端配置、運行環(huán)境、通信鏈路安全保障、安全模塊使用、日志管理等各方面、全方位的進行保障，下面將進行分門別類的詳細介紹。
?
?
一般情況下，在 Linux 下啟動 Apache 服務(wù)器的進程 httpd 需要 root 權(quán)限。由于 root 權(quán)限太大，存在許多潛在的對系統(tǒng)的安全威脅。一些管理員為了安全的原因，認為 httpd 服務(wù)器不可能沒有安全漏洞，因而更愿意使用普通用戶的權(quán)限來啟動服務(wù)器。http.conf 主配置文件里面有如下 2 個配置是 Apache 的安全保證，Apache 在啟動之后，就將其本身設(shè)置為這兩個選項設(shè)置的用戶和組權(quán)限進行運行，這樣就降低了服務(wù)器的危險性。
User apache
Group apache
?
需要特別指出的是：以上 2 個配置在主配置文件里面是默認選項，當采用 root 用戶身份運行 httpd 進程后，系統(tǒng)將自動將該進程的用戶組和權(quán)限改為 apache，這樣，httpd 進程的權(quán)限就被限制在 apache 用戶和組范圍內(nèi)，因而保證了安全。
?
向客戶端隱藏 Apache 服務(wù)器的相關(guān)信息
Apache 服務(wù)器的版本號可以作為黑客入侵的重要信息進行利用，他們通常在獲得版本號后，通過網(wǎng)上搜索針對該版本服務(wù)器的漏洞，從而使用相應(yīng)的技術(shù)和工具有針對性的 入侵，這也是滲透測試的一個關(guān)鍵步驟。因此，為了避免一些不必要的麻煩和安全隱患，可以通過主配置文件 httpd.conf 下的如下兩個選項進行：
?
（1）ServerTokens：該選項用于控制服務(wù)器是否響應(yīng)來自客戶端的請求，向客戶端輸出服務(wù)器系統(tǒng)類型或者相應(yīng)的內(nèi)置模塊等重要信 息。Red Hat Enterprise Linux 5 操作系統(tǒng)在主配置文件中提供全局默認控制閾值為 OS，即 ServerTokens OS。它們將向客戶端公開操作系統(tǒng)信息和相關(guān)敏感信息，所以保證安全情況下需要在該選項后使用“ProductOnly”，即 ServerTokens ProductOnly。
?
（2）ServerSignature：該選項控制由系統(tǒng)生成的頁面（錯誤信息等）。默認情況下為 off，即 ServerSignature off，該情況下不輸出任何頁面信息。另一情況為 on，即 ServerSignature on，該情況下輸出一行關(guān)于版本號等相關(guān)信息。安全情況下應(yīng)該將其狀態(tài)設(shè)為 off。
?
圖 1 和圖 2 為安全設(shè)定這兩個選項前后正常情況下和錯誤情況下的輸出頁面（通過 Rhel5 中的 Mozilla Firefox 瀏覽器訪問 Rhel5 中的 Apache 服務(wù)器）的詳細對比。可以清楚看到，安全設(shè)定選項后，可以充分地向客戶端用戶隱藏 Linux 操作系統(tǒng)信息和 Apache 服務(wù)器版本信息。
圖 1. 錯誤情況下未設(shè)定安全選項前示意
圖 2. 操作情況下使用安全設(shè)定后的對比
要從主目錄以外的其他目錄中進行發(fā)布，就必須創(chuàng)建虛擬目錄。虛擬目錄是一個位于 Apache 的主目錄外的目錄，它不包含在 Apache 的主目錄中，但在訪問 Web 站點的用戶看來，它與位于主目錄中的子目錄是一樣的。每個虛擬目錄都有一個別名，用戶 Web 瀏覽器中可以通過此別名來訪問虛擬目錄，如 http:// 服務(wù)器 IP 地址 / 別名 / 文件名，就可以訪問虛擬目錄下面的任何文件了。
?
使用 Alias 選項可以創(chuàng)建虛擬目錄。在主配置文件中，Apache 默認已經(jīng)創(chuàng)建了兩個虛擬目錄。這兩條語句分別建立了“/icons/”和“/manual”兩個虛擬目錄，它們對應(yīng)的物理路徑分別是“/var/www /icons/”和“/var/www/manual”。在主配置文件中，用戶可以看到如下配置語句：
Alias /icons/ "/var/www/icons/"
Alias /manual "/var/www/manual"
?
在實際使用過程中，用戶可以自己創(chuàng)建虛擬目錄。比如，創(chuàng)建名為 /user 的虛擬目錄，它所對應(yīng)的路徑為上面幾個例子中常用的 /var/www/html/rhel5：
Alias /test "/var/www/html/rhel5"
?
如果需要對其進行權(quán)限設(shè)置，可以加入如下語句：
<Directory “/var/www/html/rhel5”>
AllowOverride None
Options Indexes
Order allow,deny
Allow from all
</Directory>
?
設(shè)置該虛擬目錄和目錄權(quán)限后，可以使用客戶端瀏覽器進行測試驗證，采用別名對該目錄中的文件進行訪問，瀏覽結(jié)果如圖 3 所示。
圖 3. 使用虛擬目錄的測試結(jié)果
?
Apache 服務(wù)器需要綁定到 80 端口上來監(jiān)聽請求，而 root 是唯一有這種權(quán)限的用戶，隨著攻擊手段和強度的增加，這樣會使服務(wù)器受到相當大的威脅，一但被利用緩沖區(qū)溢出漏洞，就可以控制整個系統(tǒng)。為了進一步提高系 統(tǒng)安全性，Linux 內(nèi)核引入 chroot 機制，chroot 是內(nèi)核中的一個系統(tǒng)調(diào)用，軟件可以通過調(diào)用函數(shù)庫的 chroot 函數(shù)，來更改某個進程所能見到的根目錄。
?
chroot 機制即將某軟件運行限制在指定目錄中，保證該軟件只能對該目錄及其子目錄的文件有所動作，從而保證整個服務(wù)器的安全。在這種情況下，即使出現(xiàn)黑客或者不法 用戶通過該軟件破壞或被侵入系統(tǒng)，Linux 系統(tǒng)所受的損壞也僅限于該設(shè)定的根目錄，而不會影響到整個系統(tǒng)的其他部分。
?
將軟件 chroot 化的一個問題是該軟件運行時需要的所有程序、配置文件和庫文件都必須事先安裝到 chroot 目錄中，通常稱這個目錄為 chroot“監(jiān)牢”。如果在“監(jiān)牢”中運行 httpd，那么用戶根本看不到 Linux 文件系統(tǒng)中那個真正的目錄，從而保證了 Linux 系統(tǒng)的安全。
?
在使用該技術(shù)的時候，一般情況下需要事先創(chuàng)建目錄，并將守護進程的可執(zhí)行文件 httpd 復制到其中。同時，由于 httpd 需要幾個庫文件，所以需要把 httpd 程序依賴的幾個 lib 文件同時也拷貝到同一個目錄下，因此手工完成這一工作是非常麻煩的。幸運的是，用戶可以通過使用開源的 jail 軟件包來幫助簡化 chroot“監(jiān)牢”建立的過程，具體步驟如下所示：Jail 官方網(wǎng)站是： http://www.jmcresearch.com/projects/ 。
?
首先將其下載，然后執(zhí)行如下命令進行源代碼包的編譯和安裝：
#tar xzvf jail_1.9a.tar.gz
#cd jail/src
#make
?
jail 軟件包提供了幾個 Perl 腳本作為其核心命令，包括 mkjailenv、addjailuser 和 addjailsw，他們位于解壓后的目錄 jail/bin 中。這幾個命令的基本用途如下所示：
- mkjailenv：用于創(chuàng)建 chroot“監(jiān)牢”目錄，并且從真實文件系統(tǒng)中拷貝基本的軟件環(huán)境。
- addjailsw：用于從真實文件系統(tǒng)中拷貝二進制可執(zhí)行文件及其相關(guān)的其它文件（包括庫文件、輔助性文件和設(shè)備文件）到該“監(jiān)牢”中。
- addjailuser：創(chuàng)建新的 chroot“監(jiān)牢”用戶。
采用 jail 創(chuàng)建監(jiān)牢的步驟如下所示；
（1）首先需要停止目前運行的 httpd 服務(wù)，然后建立 chroot 目錄，命令如下所示。該命令將 chroot 目錄建立在路徑 /root/chroot/httpd 下：
# service httpd stop
# mkjailenv /root/chroot/httpd
kjailenv
A component of Jail (version 1.9 for linux)
http://www.gsyc.inf.uc3m.es/~assman/jail/
Juan M. Casillas <assman@gsyc.inf.uc3m.es>
Making chrooted environment into /root/chroot/httpd
Doing preinstall()
Doing special_devices()
Doing gen_template_password()
Doing postinstall()
Done.
?
（2）為“監(jiān)牢”添加 httpd 程序，命令如下：
# ./addjailsw /root/chroot/httpd/ -P /usr/sbin/httpd
addjailsw
A component of Jail (version 1.9 for linux)
http://www.gsyc.inf.uc3m.es/~assman/jail/
Juan M. Casillas <assman@gsyc.inf.uc3m.es>
Guessing /usr/sbin/httpd args(0)
Warning: can't create /proc/mounts from the /proc filesystem
Done.
?
在上述過程中，用戶不需要在意那些警告信息，因為 jail 會調(diào)用 ldd 檢查 httpd 用到的庫文件。而幾乎所有基于共享庫的二進制可執(zhí)行文件都需要上述的幾個庫文件。
?
（3）然后，將 httpd 的相關(guān)文件拷貝到“監(jiān)牢”的相關(guān)目錄中，命令如下所示：
# mkdir -p /root/chroot/httpd/etc
# cp – a /etc/httpd /root/chroot/httpd/etc/
?
添加后的目錄結(jié)構(gòu)如下所示：
# ll
總計 56
drwxr-xr-x 2 root root 4096 03-23 13:44 dev
drwxr-xr-x 3 root root 4096 03-23 13:46 etc
drwxr-xr-x 2 root root 4096 03-23 13:46 lib
drwxr-xr-x 2 root root 4096 03-23 13:46 selinux
drwsrwxrwx 2 root root 4096 03-23 13:46 tmp
drwxr-xr-x 4 root root 4096 03-23 13:46 usr
drwxr-xr-x 3 root root 4096 03-23 13:46 var
?
（4）重新啟動 httpd，并使用 ps 命令檢查 httpd 進程，發(fā)現(xiàn)該進程已經(jīng)運行在監(jiān)牢中，如下所示：
# ps -aux | grep httpd
Warning: bad syntax, perhaps a bogus '-'? See /usr/share/doc/procps-3.2.7/FAQ
root 3546 0.6 0.3 3828 1712 pts/2 S 13:57 0:00 /usr/sbin/nss_pcache off
/etc/httpd/alias
root 3550 14.2 3.6 49388 17788 ? Rsl 13:57 0:00 /root/chroot/httpd/httpd
apache 3559 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3560 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3561 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3562 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3563 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3564 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3565 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
apache 3566 0.2 1.4 49388 6888 ? S 13:57 0:00 /root/chroot/httpd/httpd
root 3568 0.0 0.1 4124 668 pts/2 R+ 13:57 0:00 grep httpd
?
Apache 的一個優(yōu)勢便是其靈活的模塊結(jié)構(gòu)，其設(shè)計思想也是圍繞模塊（module）概念而展開的。安全模塊是 Apache Server 中的極其重要的組成部分。這些安全模塊負責提供 Apache server 的訪問控制和認證，授權(quán)等一系列至關(guān)重要的安全服務(wù)。
?
Apache 下有如下幾類與安全相關(guān)的模塊：
- mod_access 模塊能夠根據(jù)訪問者的 IP 地址（或域名，主機名等）來控制對 Apache 服務(wù)器的訪問，稱之為基于主機的訪問控制。
- mod_auth 模塊用來控制用戶和組的認證授權(quán)（Authentication）。用戶名和口令存于純文本文件中。
- mod_auth_db 和 mod_auth_dbm 模塊則分別將用戶信息（如名稱、組屬和口令等）存于 Berkeley-DB 及 DBM 型的小型數(shù)據(jù)庫中，便于管理及提高應(yīng)用效率。
- mod_auth_digest 模塊則采用 MD5 數(shù)字簽名的方式來進行用戶的認證，但它相應(yīng)的需要客戶端的支持。
- mod_auth_anon 模塊的功能和 mod_auth 的功能類似，只是它允許匿名登錄，將用戶輸入的 E-mail 地址作為口令。
- mod_ssl 被 Apache 用于支持安全套接字層協(xié)議，提供 Internet 上安全交易服務(wù)，如電子商務(wù)中的一項安全措施。通過對通信字節(jié)流的加密來防止敏感信息的泄漏。但是，Apache 的這種支持是建立在對 Apache 的 API 擴展來實現(xiàn)的，相當于一個外部模塊，通過與第三方程序（如 openssl）的結(jié)合提供安全的網(wǎng)上交易支持。
為了能夠使用模塊功能，模塊通常以 DSO（Dynamic Shared Object）的方式構(gòu)建，用戶應(yīng)該在 httpd.conf 文件中使用 LoadModule 指令，使得能夠在使用前獲得模塊的功能。如下為主配置文件中各個模塊的情況，開啟安全模塊非常簡單，即去掉在各安全模塊所在行前的“#”符號即可，如下所 示：
LoadModule auth_basic_module modules/mod_auth_basic.so
LoadModule auth_digest_module modules/mod_auth_digest.so
LoadModule authn_file_module modules/mod_authn_file.so
LoadModule authn_alias_module modules/mod_authn_alias.so
....
?
只有將上述安全模塊進行開啟后 ,Apache 才能實現(xiàn)相應(yīng)的訪問控制和通信加密功能。
?
在開啟了相應(yīng)的安全模塊后，還需要對 Apache 的訪問控制策略進行設(shè)定。
?
目前，有兩種常見的認證類型，基本認證和摘要認證：
（1）基本認證（Basic）：使用最基本的用戶名和密碼方式進行用戶認證。
（2）摘要認證（Digest）：該認證方式比基本認證要安全得多，在認證過程中額外使用了一個針對客戶端的挑戰(zhàn)（challenge）信息，可以有效地避免基本認證方式可能遇到的“重放攻擊”。值得注意的是：目前并非所有的瀏覽器都支持摘要認證方式。
?
所有的認證配置指令既可以出現(xiàn)在主配置文件 httpd.conf 中的 Directory 容器中，也可以出現(xiàn)在單獨的 .htaccess 文件中，這個可以由用戶靈活地選擇使用。在認證配置過程中，需要用到如下指令選項：
- AuthName：用于定義受保護區(qū)域的名稱。
- AuthType：用于指定使用的認證方式，包括上面所述的 Basic 和 Digest 兩種方式。
- AuthGroupFile：用于指定認證組文件的位置。
- AuthUserFile：用戶指定認證口令文件的位置。
使用上述的認證指令配置認證之后，需要為 Apache 服務(wù)器的訪問對象，也就是指定的用戶和組進行相應(yīng)的授權(quán)，以便于他們對 Apache 服務(wù)器提供的目錄和文件進行訪問。為用戶和組進行授權(quán)需要使用 Require 指令，它主要可以使用如下三種方式進行授權(quán)：
- 授權(quán)給指定的一個或者多個用戶：使用 Require user 用戶名 1 用戶名 2 …。
- 授權(quán)給指定的一個或者多個組：使用 Require group 用戶名 1 用戶名 2 …。
- 授權(quán)給指定口令文件中的所有用戶：使用 Require valid-user。
?
要實現(xiàn)用戶認證功能，首先要建立保存用戶名和口令的文件。Apache 自帶的 htpasswd 命令提供了建立和更新存儲用戶名、密碼的文本文件的功能。需要注意的是，這個文件必須放在不能被網(wǎng)絡(luò)訪問的位置，以避免被下載和信息泄漏。建議將口令文件 放在 /etc/httpd/ 目錄或者其子目錄下。
?
下面的例子在 /etc/httpd 目錄下創(chuàng)建一個文件名為 passwd_auth 的口令文件，并將用戶 rhel5 添加入認證口令文件。使用以下命令建立口令文件（過程中還會提示輸入該用戶的口令）：
# touch passwd_auth
# htpasswd -c /etc/httpd/passwd_auth rhel5
New password:
Re-type new password:
Adding password for user rhel5
?
命令執(zhí)行的過程中系統(tǒng)會要求用戶為 rhel5 用戶輸入密碼。上述命令中的 -c 選項表示無論口令文件是否已經(jīng)存在，都會重新寫入文件并刪去原有內(nèi)容。所以在添加第 2 個用戶到口令文件時，就不需要使用 -c 選項了，如下命令所示
# htpasswd /etc/httpd/passwd_auth testuser
?
配置指令
Apache 實現(xiàn)訪問控制的配置指令包括如下三種：
（1）order 指令：用于指定執(zhí)行允許訪問控制規(guī)則或者拒絕訪問控制規(guī)則的順序。order 只能設(shè)置為 Order allow，deny 或 Order deny，allow，分別用來表明用戶先設(shè)置允許的訪問地址還是先設(shè)置禁止訪問的地址。Order 選項用于定義缺省的訪問權(quán)限與 Allow 和 Deny 語句的處理順序。Allow 和 Deny 語句可以針對客戶機的域名或 IP 地址進行設(shè)置，以決定哪些客戶機能夠訪問服務(wù)器。Order 語句設(shè)置的兩種值的具體含義如下：
- allow, deny：缺省禁止所有客戶機的訪問，且 Allow 語句在 Deny 語句之前被匹配。如果某條件既匹配 Deny 語句又匹配 Allow 語句，則 Deny 語句會起作用（因為 Deny 語句覆蓋了 Allow 語句）。
- deny, allow：缺省允許所有客戶機的訪問，且 Deny 語句在 Allow 語句之前被匹配。如果某條件既匹配 Deny 語句又匹配 Allow 語句，則 Allow 語句會起作用（因為 Allow 語句覆蓋了 Deny 語句）。
（2）allow 指令：指明允許訪問的地址或地址序列。如 allow from all 指令表明允許所有 IP 來的訪問請求。
（3）deny 指令：指明禁止訪問的地址或地址序列。如 deny from all 指令表明禁止所有 IP 來的訪問請求。
?
應(yīng)用實例
下面舉幾個簡單的例子對上述 order、allow 和 deny 命令的使用進行示范。
?
（1）在下面的例子中，admin.org 域中所有主機都允許訪問網(wǎng)站，而其他非該域中的任何主機訪問都被拒絕，因為 Deny 在前，Allow 在后，Allow 語句覆蓋了 Deny 語句：
Order Deny,Allow
Deny from all
Allow from admin.org
?
（2）下面例子中，admin.org 域中所有主機，除了 db.admin.org 子域包含的主機被拒絕訪問以外，都允許訪問。而所有不在 admin.org 域中的主機都不允許訪問，因為缺省狀態(tài)是拒絕對服務(wù)器的訪問（Allow 在前，Deny 在后，Deny 語句覆蓋了 Allow 語句）：
Order Allow,Deny
Allow from admin.org
Deny from db.admin.org
?
使用主配置文件配置用戶認證及授權(quán)
在本例子中，用戶可以在 Apache 的主配置文件 httpd.conf 中加入以下語句建立對目錄 /var/www/html/rhel5 訪問的用戶認證和授權(quán)機制：
<Directory "/var/www/html/rhel5">
AllowOverride None
AuthType Basic
AuthName "rhel5"
AuthUserFile /etc/httpd/passwd_auth
Require user rhel5 testuser
</Directory>
?
在上述例子中，使用了如下指令：
- AllowOverride：該選項定義了不使用 .htaccess 文件。
- AuthType Basic：AuthType 選項定義了對用戶實施認證的類型，最常用的是由 mod_auth 提供的 Basic。
- AuthName：定義了 Web 瀏覽器顯示輸入用戶 / 密碼對話框時的領(lǐng)域內(nèi)容。
- AuthUserFile：定義了口令文件的路徑，即使用 htpasswd 建立的口令文件。
- Require user：定義了允許哪些用戶訪問，各用戶之間用空格分開。
需要注意的是：在 AuthUserFile 選項定義中，還需要使用如下語句事先建立認證用戶 patterson 和 testuser，該選項中的定義才能生效：
#htpasswd -c /etc/httpd/passwd_auth rhel5
#htpasswd /etc/httpd/passwd_auth testuser
?
使用 .htaccess 文件配置用戶認證和授權(quán)
在本例子中，為了完成如上述例子同樣的功能，需要先在主配置文件中加入如下語句：
<Directory “/var/www/html/rhel5”>
AllowOverride AuthConfig
</Directory>
?
上述語句中的 AllowOverride 選項允許在 .htaccess 文件中使用認證和授權(quán)指令。、、然后，在 .htaccess 文件中添加如下語句即可：
AuthType Basic
AuthName "Please Login:"
AuthUserFile /etc/httpd/passwd_auth
Require user rhel5 testuser、
?
同理，在 AuthUserFile 選項定義中，還需要使用如下語句事先建立認證用戶 patterson 和 testuser，該選項中的定義才能生效：
#htpasswd -c /etc/httpd/passwd_auth rhel5
#htpasswd /etc/httpd/passwd_auth testuser
?
?
在 SSL 通信中，首先采用非對稱加密交換信息，使得服務(wù)器獲得瀏覽器端提供的對稱加密的密鑰，然后利用該密鑰進行通信過程中信息的加密和解密。為了保證消息在傳遞 過程中沒有被篡改，可以加密 Hash 編碼來確保信息的完整性。服務(wù)器數(shù)字證書主要頒發(fā)給 Web 站點或其他需要安全鑒別的服務(wù)器，證明服務(wù)器的身份信息，同樣客戶端數(shù)字證書用于證明客戶端的身份。
?
使用公用密鑰的方式可以保證數(shù)據(jù)傳輸沒有問題，但如果瀏覽器客戶訪問的站點被假冒，這也是一個嚴重的安全問題。這個問題不屬于加密本身，而是 要保證密鑰本身的正確性問題。要保證所獲得的其他站點公用密鑰為其正確的密鑰，而非假冒站點的密鑰，就必須通過一個認證機制，能對站點的密鑰進行認證。當 然即使沒有經(jīng)過認證，仍然可以保證信息傳輸安全，只是客戶不能確信訪問的服務(wù)器沒有被假冒。如果不是為了提供電子商務(wù)等方面對安全性要求很高的服務(wù)，一般 不需要如此嚴格的考慮。
?
下面給出使用 SSL 進行通信的過程（參見圖 4）：
（1）客戶端向服務(wù)器端發(fā)起對話，協(xié)商傳送加密算法。例如：對稱加密算法有 DES、RC5，密鑰交換算法有 RSA 和 DH，摘要算法有 MD5 和 SHA。
（2）服務(wù)器向客戶端發(fā)送服務(wù)器數(shù)字證書。比如：使用 DES－RSA－MD5 這對組合進行通信。客戶端可以驗證服務(wù)器的身份，決定是否需要建立通信。
（3）客戶端向服務(wù)器傳送本次對話的密鑰。在檢查服務(wù)器的數(shù)字證書是否正確，通過 CA 機構(gòu)頒發(fā)的證書驗證了服務(wù)器證書的真實有效性之后，客戶端生成利用服務(wù)器的公鑰加密的本次對話的密鑰發(fā)送給服務(wù)器。
（4）服務(wù)器用自己的私鑰解密獲取本次通信的密鑰。
（5）雙方的通信正式開始。
圖 4. SSL 通信流程示意
在一般情況下，當客戶端是保密信息的傳遞者時，他不需要數(shù)字證書驗證自己身份的真實性，如用戶通常使用的網(wǎng)上銀行交易活動，客戶需要將自己的 隱秘信息——賬號和密碼發(fā)送給銀行，因此銀行的服務(wù)器需要安裝數(shù)字證書來表明自己身份的有效性，否則將會使得信息泄露。當然，在某些安全性要求極高的 B2B（Business to Business）應(yīng)用，服務(wù)器端也需要對客戶端的身份進行驗證，這時客戶端也需要安裝數(shù)字證書以保證通信時服務(wù)器可以辨別出客戶端的身份，驗證過程類似 于服務(wù)器身份的驗證過程。另外，在一些電子商務(wù)的應(yīng)用中，可能還會使用到電子簽名，或者為了信息交換的更加安全，會增加電子簽名和消息校驗碼（MAC）。 而在通常情況下，瀏覽器都會通過交互的方式來完成上述的通信過程，下面在 Linux 中對 Apache 采用 SSL 也會作詳細地介紹。
?
?
安裝 SSL
雖然 Apache 服務(wù)器不支持 SSL，但 Apache 服務(wù)器有兩個可以自由使用的支持 SSL 的相關(guān)計劃，一個為 Apache-SSL，它集成了 Apache 服務(wù)器和 SSL，另一個為 Apache+mod_ssl，它是通過可動態(tài)加載的模塊 mod_ssl 來支持 SSL，其中后一個是由前一個分化出的，并由于使用模塊，易用性很好，因此使用范圍更為廣泛。還有一些基于 Apache 并集成了 SSL 能力的商業(yè) Web 服務(wù)器，然而使用這些商業(yè) Web 服務(wù)器主要是北美，這是因為在那里 SSL 使用的公開密鑰的算法具備專利權(quán)，不能用于商業(yè)目的，其他的國家不必考慮這個專利問題，而可以自由使用 SSL。
?
Apache+mod_ssl 依賴于另外一個軟件：OpenSSL，它是一個可以自由使用的 SSL 實現(xiàn)，首先需要安裝這個軟件。用戶可以從網(wǎng)站 http://www.openssl.org/source/ 上下載 Linux 下 OpenSSL 的最新穩(wěn)定版本：openssl-1.0.1c.tar.gz。
?
下載源代碼安裝包后，使用如下的步驟安裝即可：
（1）用 openssl-1.0.1c.tar.gz 軟件包安裝 OpenSSL 之前，首先須要對該軟件包進行解壓縮和解包。用以下命令完成軟件包的解壓縮和解包：
#tar xvfz openssl-1.0.1c.tar.gz
（2）解壓縮后，進入源碼的目錄 openssl-1.0.1c ，并使用配置腳本進行環(huán)境的設(shè)置。相應(yīng)的命令為：
// 改變當前目錄為 openssl-1.0.1c 目錄
#cd openssl-1.0.1c
// 執(zhí)行該目錄下配置腳本程序
#./configure
?
（3）在執(zhí)行 ./configure 之后，配置腳本會自動生成 Makefile。如果在設(shè)置的過程中沒有任何的錯誤，就可以開始編譯源碼了。相應(yīng)的命令及其顯示結(jié)果如下：
#make & make install
?
安裝好 OpenSSL 之后，就可以安裝使用 Apache+mod_ssl 了。然而為了安裝完全正確，需要清除原先安裝的 Apache 服務(wù)器的其他版本，并且還要清除所有的設(shè)置文件及其缺省設(shè)置文件，以避免出現(xiàn)安裝問題。最好也刪除 /usr/local/www 目錄（或更名），以便安裝程序能建立正確的初始文檔目錄。如果是一臺沒有安裝過 Apache 服務(wù)器的新系統(tǒng)，就可以忽略這個步驟，而直接安裝 Apache+mod_ssl 了。
?
啟動和關(guān)閉 SSL
啟動和關(guān)閉該服務(wù)器的命令如下所示：
- #apachectl start：啟動 apache。
- #apachectl startssl：啟動 apache ssl。
- #apachectl stop：停止 apache。
- #apachectl restart：重新啟動 apache。
- #apachectl status：顯示 apache 的狀態(tài)。
- #apachectl configtest：測試 httpd.conf 配置是否正確。
- # /usr/local/sbin/apachectl startssl
此時使用 start 參數(shù)為僅僅啟動普通 Apache 的 httpd 守護進程，而不啟動其 SSL 能力，而 startssl 才能啟動 Apache 的 SSL 能力。如果之前 Apache 的守護進程正在運行，便需要使用 stop 參數(shù)先停止服務(wù)器運行。
?
在采用 OpenSSL 進行 Apache 通信加密前，需要先產(chǎn)生與加密相關(guān)的認證憑證（也就是證書），如下步驟所示：
# openssl genrsa -out apache.key 1024
Generating RSA private key, 1024 bit long modulus
..........................................++++++
.....................++++++
e is 65537 (0x10001)
# openssl req -new -key apache.key -out apache.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [GB]:CN
State or Province Name (full name) [Berkshire]:China
Locality Name (eg, city) [Newbury]:Beijing
Organization Name (eg, company) [My Company Ltd]:CSO
Organizational Unit Name (eg, section) []:CSO
Common Name (eg, your name or your server's hostname) []:localhost
Email Address []:CSO@ittf.org.cn
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:apacheserver
An optional company name []:apacheserver
# openssl x509 -req -days 365 -in apache.csr -signkey apache.key -out apache.crt
Signature ok
subject=/C=CN/ST=China/L=Beijing/O=CSO/OU=CSO/CN=localhost/emailAddress=CSO@ittf.org.cn
Getting Private key
?
經(jīng)過上述步驟后，將會產(chǎn)生三個文件 apache.csr, apache.key 和 apache.crt，然后把這三個文件拷貝到 /etc/httpd/conf/ca 目錄下即可。
?
然后，就可以啟動 Mozilla、IE 或其他支持 SSL 的瀏覽器，輸入 URL 為： https://ssl_server/ 來查看服務(wù)器是否有相應(yīng)，https 使用的缺省端口為 443，如果一切正常，服務(wù)器將會返回給客戶端證書，由客戶端進行驗證并且判斷，是否接受該證書并進行下一步的通信過程。
?
下面以 Linux 下的 Mozilla Firefox 瀏覽器為例，來簡要說明使用 Apache+SSL 服務(wù)器的過程。首先，圖 5 給出了查看和驗證該證書的相關(guān)提示；最后，圖 6 則給出了證書驗證成功后，采用 SSL 進行保密傳輸?shù)木唧w界面示意：
圖 5. 驗證證書示意
圖 6. 證書通過驗證，正常通信開始
?
?
日志文件是用戶管理和監(jiān)控 Apache 安全的非常好的第一手資料，它清晰地記錄了客戶端訪問 Apache 服務(wù)器資源的每一條記錄，以及在訪問中出現(xiàn)的錯誤信息，可以這樣說，Apache 可以記錄 Web 訪問中感興趣的幾乎所有信息。
?
當運行 Apache 服務(wù)器時生成 4 個標準的日志文件：
- 錯誤日志
- 訪問日志
- 傳輸日志
- Cookie 日志
其中比較常見的是訪問日志（access_log）和錯誤日志（error_log），其中傳輸日志和 cookie 日志被 Apache 2.0 以上的版本丟棄，所以本文不討論這兩種日志。當然，如果使用 SSL 服務(wù)的話，還可能存在 ssl_access_log、ssl_error_log 和 ssl_request_log 三種日志文件。
?
另外，值得注意的是：上述幾種日志文件如果長度過大，還可能生成注入 access_log.1，error_log.2 等的額外文件，其格式與含義與上述幾種文件相同，只不過系統(tǒng)自動為其進行命名而已。
?
Apache 中提供如下 4 條與日志相關(guān)的配置指令：
- ErrorLog 指令：用于指定錯誤日志的存放路徑，使用語法為：ErrorLog 文件名；
- LogLevel：用于指定錯誤日志的錯誤登記，使用語法為：Loglevel 等級；
- LogFormat：用于為日志記錄格式命名，使用語法為：LogFormat 記錄格式說明字符串 格式稱謂；
- CustomLog：用于指定訪問日志存放路徑和記錄格式，指定訪問日志由指定的程序生成并指定日志的記錄格式，使用語法為：CustomLog 日志文件名 格式稱謂。
在上述幾個文件當中，除了 error_log 和 ssl_error_log 之外，所有日志文件以由 CustomLog 和 LogFormat 指令指定的格式生成。這些指令在 httpd.conf 文件中出現(xiàn)。使用 LogFormat 指令可以定義新的日志文件格式：
LogFormat “%h %l %u %t \ “%> %s %b “common
?
假定使用的是 common 日志格式或者 combined 日志格式，這兩種格式都在默認的配置文件中定義。表 1 列出了 LogFormat 語句可以使用的變量：
表 1. LogFormat 語句的變量
變 量 含 義| %b | 發(fā)送字節(jié)，不包括 HTTP 標題 |
| %f | 文件名 |
| %{VARIABLE}e | 環(huán)境變量 VARIABLE 的內(nèi)容 |
| %h | 遠程主機 |
| %a | 遠程 IP 地址 |
| %{HEADER}i | HEADER 內(nèi)容；發(fā)送到服務(wù)器的請求的標題行 |
| %l | 遠程登錄名（如果提供該值，則從 identd 獲得） |
| %{NOTE}n | 來自另一個模塊的 NOTE 通知的內(nèi)容 |
| %{HEADER}o | HEADER 的內(nèi)容，回復中的標題行 |
| %p | 服務(wù)器服務(wù)于請求的規(guī)范端口 |
| %P | 服務(wù)于請求的子進程的 ID |
| %r | 請求的第一行 |
| %s | 狀態(tài)。對于內(nèi)部重定向的請求，該狀態(tài)為初始請求—最后是 %>s |
| %t | 時間，格式為 common 日志格式中的時間格式 |
| %{format}t | 時間，格式由 format 給出。可以是 strftime（3）格式 |
| %T | 服務(wù)請求花費的時間，以秒計 |
| %u | 來自 auth 的遠程用戶；如果返回的狀態(tài)（%s）為 401 則可能是假的 |
| %U | 請求的 URL 路徑 |
| %v | 服務(wù)于該請求的服務(wù)器的規(guī)范 ServerName |
在每個變量中，可以在前面設(shè)置一個條件，決定是否顯示該變量。如果不顯示，則顯示 -。這些條件是數(shù)值返回值列表的形式。另外，還可以使用 CustomLog 指令指定日志文件的位置和格式。如果沒有指定日志文件的絕對路徑，則日志文件的位置假定為相對于 ServerRoot。下面是 httpd.conf 文件中指定日志文件的語句：
//
// The location and format of the access logfile（Common Logfile Format）.
// If you do not define any access logfiles within a <VirtualHost>
// container, they will be logged here. Contrariwise, if you *do*
// define per-<VirtualHost> access logfiles, transactions will be
// logged therein and *not* in this file.
//
CustomLog logs/access_log common
ErrorLog logs/error_log
?
?
一般說來，Apache 中的錯誤日志記錄等級有如表 2 所示的八類：
?
表 2. 錯誤日志記錄的等級
緊急性 等級 解釋| 1 | Emerg | 出現(xiàn)緊急狀況使得系統(tǒng)不可用 |
| 2 | Alert | 需要立即引起注意的狀況 |
| 3 | Crit | 危險情況的警告 |
| 4 | Error | 除上述 3 種情況之外的其他錯誤 |
| 5 | Warn | 警告信息 |
| 6 | Notice | 需要引起注意的情況，不如第 4 和第 5 類重要 |
| 7 | Info | 需要報告的一般消息 |
| 8 | Debug | 運行于 debug 模式的程序產(chǎn)生的消息 |
另外，在 Apache 中，將訪問日志分為如下 4 類：
- 普通日志格式（common log format，CLF）：大多數(shù)日志分析軟件都支持這種格式，其在 LogFormat 指定中定義的昵稱為 common；
- 參考日志格式（referer log format）：記錄客戶訪問站點的用戶身份，其在 LogFormat 指定中定義的昵稱為 referer；
- 代理日志格式（agent log format）：記錄請求的用戶代理，其在 LogFormat 指定中定義的昵稱為 agent；
- 綜合日志格式（combined log format）：即結(jié)合上述三種格式的日志信息，其在 LogFormat 指定中定義的昵稱為 combined。
在實際的使用過程中，由于綜合日志格式有效地結(jié)合了其他 3 種日志格式和信息，所以在配制訪問日志時，可以有
?
兩種方式：
（1）分別使用 3 個文件進行分別記錄，相應(yīng)配置示例如下：
LogFormat “%h %l %u %t \ “%r\” %>s %b” common
LogFormat “%{Referer}i->%U” referer
LogFormat “%{Apache User-agent}i” agent
CustomLog logs/access_log common
CustomLog logs/referer_log referer
CustomLog logs/agent_log agent
?
（2）使用一個綜合文件進行記錄，相應(yīng)配置示例如下：
LogFormat “%h %l %u %t \ “%r\” %>s %b \”%{Referer}i\” \
“%{Apache User-Agent}i\””combined
CustomLog logs/access_log combined
?
學習
-
訪問
Apache 官方網(wǎng)站
，了解 Apache 開源項目的相關(guān)知識、進展和動態(tài)。
-
下載
Apache Web 服務(wù)器
，進行實際安裝和學習。
-
學習
change root 工具
，進行 Apache 安全運行環(huán)境設(shè)置演練。
-
閱讀書籍：
Apache security:The complete guide to securing your Apache web server
，系統(tǒng)學習 Apache 安全方面的更多知識。
-
參考書籍：
Apache server administrator's handbook
，學習更多 Apache 服務(wù)安全管理方面的知識。
-
下載最新版本的
OpenSSL
，安裝并設(shè)置證書，進行數(shù)據(jù)通信安全保障方面的實戰(zhàn)演練。
-
在
developerWorks Linux 專區(qū)
尋找為 Linux 開發(fā)人員（包括
Linux 新手入門
）準備的更多參考資料，查閱我們
最受歡迎的文章和教程
。
-
在 developerWorks 上查閱所有
Linux 技巧
和
Linux 教程
。
-
隨時關(guān)注 developerWorks
技術(shù)活動
和
網(wǎng)絡(luò)廣播
。
討論
-
加入
developerWorks 中文社區(qū)
，developerWorks 社區(qū)是一個面向全球 IT 專業(yè)人員，可以提供博客、書簽、wiki、群組、聯(lián)系、共享和協(xié)作等社區(qū)功能的專業(yè)社交網(wǎng)絡(luò)社區(qū)。
- 加入 IBM 軟件下載與技術(shù)交流群組 ，參與在線交流。
?
?
更多文章、技術(shù)交流、商務(wù)合作、聯(lián)系博主
微信掃碼或搜索：z360901061
微信掃一掃加我為好友
QQ號聯(lián)系： 360901061
您的支持是博主寫作最大的動力，如果您喜歡我的文章，感覺我的文章對您有幫助，請用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧，狠狠點擊下面給點支持吧，站長非常感激您！手機微信長按不能支付解決辦法：請將微信支付二維碼保存到相冊，切換到微信，然后點擊微信右上角掃一掃功能，選擇支付二維碼完成支付。
【本文對您有幫助就好】元
