Apache安全配置中容易被忽视的七个关键点

Apache安全配置是Web服务器安全防护的第一道防线，但大量生产环境中的Apache服务器仅启用了最基本的目录访问控制和权限设置，而忽略了HTTP方法限制、ServerTokens隐藏、SSL/TLS协议版本控制、.htaccess覆盖层安全、日志审计配置、请求体大小限制以及DDoS攻击缓解等七个关键配置项。据OWASP《Web服务器安全配置指南》统计，超过60%的Web安全事件源于服务器配置不当而非应用漏洞。以下逐一拆解每个配置项的具体实现方法与排查思路。

限制危险HTTP方法 防止文件上传与跨站请求伪造

Apache默认允许所有HTTP方法（GET、POST、PUT、DELETE、OPTIONS、TRACE等），其中PUT、DELETE、TRACE等方法在非必要场景下存在严重安全风险。攻击者可利用PUT方法上传恶意脚本，利用TRACE方法进行跨站追踪（XST）攻击。必须通过LimitExcept指令显式阻止非必要方法。配置示例：

<Directory /var/www/html>
  <LimitExcept GET POST>
    Require all denied
  </LimitExcept>
</Directory>

该配置仅允许GET和POST请求，其他方法返回403状态码。此外，对于需要REST API的场景，建议单独配置允许的HTTP方法，避免全局放开。OWASP推荐在全局配置中禁用TRACE方法，可通过TraceEnable Off实现。

隐藏服务器版本信息 避免攻击者收集指纹

Apache默认在响应头中暴露Server: Apache/2.4.54 (Unix) mod_ssl/2.4.54等详细版本信息，攻击者可根据已知漏洞精准打击。必须通过ServerTokens和ServerSignature指令隐藏细节。配置方案：

ServerTokens Prod
ServerSignature Off

ServerTokens Prod只返回Apache，不包含版本号和操作系统信息；ServerSignature Off禁止在错误页面底部显示服务器信息。对于强制安全合规的场景（如PCI DSS），还需清除X-Powered-By等PHP/Perl版本信息，可通过Header unset X-Powered-By实现。

强制安全的SSL/TLS协议与密码套件

Apache默认启用的SSL/TLS协议版本和密码套件可能包含过时的弱加密算法（如RC4、3DES、CBC模式密码），导致中间人攻击或POODLE漏洞。必须禁用SSLv2、SSLv3、TLSv1.0和TLSv1.1，仅启用TLSv1.2和TLSv1.3。密码套件优先使用ECDHE+AEAD类。修改ssl.conf中的配置：

SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLHonorCipherOrder On

配置生效后可通过SSL Labs测试工具验证，评级需达到A+。值得注意的是，SSLHonorCipherOrder On确保服务器端优先选择强密码套件，防止客户端降级攻击。

严格控制.htaccess覆盖层 减少权限泄露风险

.htaccess文件允许目录级别的配置覆盖，但过度使用会导致性能下降和安全风险，攻击者可通过上传.htaccess文件绕过全局限制。应通过AllowOverride指令限制可覆盖的配置项，或彻底禁用不必要目录的覆盖。推荐使用AllowOverride None，然后通过<Directory>块集中管理配置。对于必须使用.htaccess的场景（如部分共享主机环境），需在httpd.conf中限制：AllowOverride AuthConfig FileInfo，仅允许认证和文件信息相关指令。

启用请求体大小限制 防止缓冲区溢出与拒绝服务攻击

Apache默认不限制请求体大小，攻击者可发送超大的POST请求导致服务器内存耗尽或CPU过载。必须配置LimitRequestBody指令。例如，限制上传文件最大为10MB：

该指令可作用于全局、<Directory>或<Files>上下文。对于图片上传目录可设为5MB，API接口根据业务需求灵活调整。同时结合Timeout指令控制请求超时时间，防止慢速连接攻击。

配置日志审计与安全监控 实现攻击溯源

Apache的访问日志和错误日志是安全事件响应的核心数据源。默认日志格式可能缺少关键字段（如请求时间、响应状态码、User-Agent等），必须自定义日志格式以包含完整信息。推荐使用combined格式：

LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
CustomLog logs/access_log combined

此外，建议启用mod_log_forensic模块记录原始请求和响应头，用于调试和攻击分析。为防止日志被篡改，可配置远程日志服务器（syslog）或使用日志审计工具（如auditd）。据SANS研究院《日志管理最佳实践》报告，79%的安全事件可在日志中定位初检证据。

缓解DDoS攻击 防护慢速连接与连接耗尽

Apache原生的抗D能力有限，但可通过mod_reqtimeout和mod_evasive模块缓解部分攻击。mod_reqtimeout限制初始请求间隔和请求体接收时间，防止Slowloris攻击：

RequestReadTimeout header=20-40,MinRate=500 body=20-40,MinRate=500

mod_evasive通过IP地址和请求频率限制防止单一来源的洪水攻击：

DOSHashTableSize 3097
DOSPageCount 2
DOSSiteCount 50
DOSPageInterval 1
DOSSiteInterval 1
DOSBlockingPeriod 10

以上配置限制同一IP在1秒内对同一页面的请求不超过2次，对整个站点的请求不超过50次，超出则屏蔽10秒。生产环境需根据实际流量调整参数，避免误封正常用户。

综合以上七个配置点，Apache服务器的安全基线可以大幅提升。但需注意，安全配置不是一次性工作，应定期审计配置变更，并配合第三方安全扫描工具进行验证。推荐使用Apache自带的httpd -S命令检查配置语法，使用apachectl configtest验证配置正确性。对于大型部署，建议结合配置管理工具（如Ansible、Puppet）实现安全配置的标准化与自动化。