지난 시간에 위와 같이 Apache에 SSL 설정을 하여 HTTPS 프로토콜로 웹 서비스를 제공할 수 있도록 하였다. 위 설정은 한가지 문제가 발생하는데 서비스를 재시작하거나 리눅스를 재부팅하면 매번 구동할 때마다 비밀번호를 입력해주어야 한다. 이런 경우를 대비하여 비밀키에 비밀번호를 제거해보자.

Apache 재시작 시 비밀번호를 물어보지 않는다.

service network  restart

CentOS 8

$sudo nmcli networking off
$sudo nmcli networking on

또는 

$sudo systemctl restart NetworkManager.service

Ubuntu 14

How to restart network in Ubuntu Server:

1. /etc/init.d/networking restart script based command.
2. service restart networking – Use service to run a System V init script such as networking.
3. systemctl restart networking – Restart networking for the latest version of Ubuntu server.

Ubuntu 18 / 20 / 22 IP설정

/etc/netplan/00-installer-config.yaml 파일 수정

$ sudo netplan apply

Almalinux

#nmtui

https://linuxconfig.org/how-to-configure-static-ip-address-on-almalinux 

debian 9

파일

sudo nano /etc/network/interfaces

수정

auto eth0
iface eth0 inet static
    address 192.168.1.100
    netmask 255.255.255.0
    gateway 192.168.1.1

재 시작

sudo systemctl restart networking

curl, nc, httprint 등으로 서버의 정보를 수집하는 방법은 다양하다. 도메인이나 ip주소를 입력하면 해당 서버의 OS, 웹서버, 네임서버 등의 정보를 정리하여 보여주는 사이트들도 많다. curl을 이용해서 테스트 서버의 정보를 보면서 웹서버의 정보를 숨기는 작업에 대해서 정리하고자 한다.

[root@webpress /]# curl -i 1.234.56.789
HTTP/1.1 200 OK
Date: Wed, 21 Apr 2021 05:00:24 GMT
Server: Apache/2.4.6 (CentOS) PHP/7.4.16
Last-Modified: Thu, 25 Mar 2021 04:58:54 GMT
ETag: "0-5be5545af6651"
Accept-Ranges: bytes
Content-Length: 0
Content-Type: text/html; charset=UTF-8

[root@webpress /]#

위의 예에서 사용한 ip주소는 존재할 수 없는 주소이지만 그 아래의 결과는 실제 서버의 헤더정보이다. 

Server OS : CentOS / 웹서버 : Apache 2.4.6 / PHP : 7.4.16 이라는 것을 쉽게 알 수 있다.

아래 두 줄을 httpd의 설정 파일인 httpd.conf 에 추가해보자. 위치는 어디든 상관없다.

ServerTokens Prod
ServerSignature Off

이제 웹서버를 재시동 한 후에 다시 확인해보면 아래와 같이 나온다.

[root@webpress /]# curl -i 1.234.56.789
HTTP/1.1 200 OK
Date: Wed, 21 Apr 2021 05:22:25 GMT
Server: Apache
Last-Modified: Thu, 25 Mar 2021 04:58:54 GMT
ETag: "0-5be5545af6651"
Accept-Ranges: bytes
Content-Length: 0
Content-Type: text/html; charset=UTF-8

[root@webpress /]#

ServerTokens는 서버가 클라이언트에 응답하는 헤더의 필드에 포함되는 모듈에 대한 정보를 제어한다. 이 구문을 생략하면 (apache 2.4.x에는 생략되어 있다) Full 옵션을 준것과 동일한데 이는 모든 정보(?)를 다 제공한다. 가장 제한적인 옵션이 Prod이며 웹서버의 종류(이름)만 전송한다. 이 외에 Major, Minor, Min, OS 등의 옵션이 있는데 자세한 것은 아파치 문서를 참고하자.

ServerSignature는 웹사이트의 오류페이지나 ftp의 디렉토리 목록 등에서 페이지의 하단에 출력되는 글을 설정하는데에 사용된다. 기본값이 off이기 때문에 생략해도 무방하다. 이 구문에 의해서 출력되는 서버의 버전정보 등은 ServerTokens에 의해서 제어된다.

1. HTTP Request Method

• GET: 클라이언트가 서버에게 URL에 해당하는 자료의 전송을 요청
• HEAD: GET 요청으로 반환될 데이터 중 헤더 부분에 해당하는 데이터만 요청(바디 제외)
• POST: 클라이언트가 서버에서 처리할 수 있는 자료를 보냄
• PUT: 클라이언트가 서버에게 지정한 URL에 지정한 데이터를 저장할 것을 요청
• DELETE: 클라이언트가 서버에게 지정한 URL의 정보를 제거할 것을 요청
• CONNECT: 클라이언트가 특정 종류의 프록시 서버에게 연결을 요청
• OPTIONS: 해당 URL에서 지원하는 요청 메세지의 목록을 요청(허용된 Method 확인)
• TRACE: 클라이언트가 서버에게 송신한 요청의 내용을 반환해 줄 것을 요청
• PATCH: 클라이언트가 서버에게 지정한 URL의 데이터를 부분적으로 수정할 것을 요청

2. 제한 Method 정의

Method 모두 열고 특정 Method를 제한하는 방식입니다.

이 방식은 Method 제한이 잘 안 될 수도 있으므로 LimitExcept를 이용하는 것을 추천합니다.

1. httpd.conf 파일 백업하기(백업을 생활화합니다.)

일반적으로 파일 경로는 /etc/httpd/conf 에 설정 httpd.conf 파일이 존재합니다. (CentOS7)

# cp httpd.conf httpd.conf.backup

# ll
합계 40
-rw-r--r--. 1 root root 12003 11월 15 16:49 httpd.conf
-rw-r--r--. 1 root root 12003 11월 15 16:53 httpd.conf.backup
-rw-r--r--. 1 root root 13064 11월 17  2020 magic

2. vi or vim 이용해 httpd.conf 파일을 수정합니다.

• 설정이 필요한 Directory에 Limit을 이용해 막고자 하는 HTTP Method를 입력합니다.

<Directory />
	<Limit DELETE OPTIONS>
		Order allow,deny
		Allow from all
	</Limit>
</Directory>

• TRACE 메소드를 막고 싶은 경우 httpd.conf 파일 맨 밑에 다음과 같이 작성합니다.

TraceEnable Off

3. 아파치 재시작

# systemctl restart httpd

3. 제한 제외 Method 정의

Method 모두 막고 특정 Method를 허용하는 방식입니다.

1. httpd.conf 파일 백업하기(백업을 생활화합니다.)

일반적으로 파일 경로는 /etc/httpd/conf 에 설정 httpd.conf 파일이 존재합니다. (CentOS7)

# cp httpd.conf httpd.conf.backup

# ll
합계 40
-rw-r--r--. 1 root root 12003 11월 15 16:49 httpd.conf
-rw-r--r--. 1 root root 12003 11월 15 16:53 httpd.conf.backup
-rw-r--r--. 1 root root 13064 11월 17  2020 magic

2. vi or vim 이용해 httpd.conf 파일을 수정합니다.

• 설정이 필요한 Directory에 LimitExcept을 이용해 제한하고자 하는 HTTP Method를 입력합니다.

<Directory />
	<LimitExcept GET POST>
		Order deny,allow
		Deny from all
	</LimitExcept>
</Directory>

• TRACE 메소드를 막고 싶은 경우 httpd.conf 파일 맨 밑에 다음과 같이 작성합니다.

TraceEnable Off

3. 아파치 재시작

# systemctl restart httpd

4. Curl HTTP Method 점검

1. 현재 허용된 Method 확인(OPTIONS 허용된 경우)

< Allow: POST, OPTIONS, GET, HEAD, TRACE를 보면 허용된 메소드를 확인할 수 있습니다.

# curl -v -X OPTIONS localhost

* About to connect() to localhost port 80 (#0)
*   Trying ::1...
* Connected to localhost (::1) port 80 (#0)
> OPTIONS / HTTP/1.1
> User-Agent: curl/7.29.0
> Host: localhost
> Accept: */*
>
< HTTP/1.1 200 OK
< Date: Mon, 15 Nov 2021 07:57:28 GMT
< Server: Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips
< Allow: POST,OPTIONS,GET,HEAD,TRACE
< Content-Length: 0
< Content-Type: httpd/unix-directory
<
* Connection #0 to host localhost left intact

2. HEAD Method 확인

# curl -I localhost

HTTP/1.1 403 Forbidden
Date: Mon, 15 Nov 2021 08:19:04 GMT
Server: Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips
Last-Modified: Thu, 16 Oct 2014 13:20:58 GMT
ETag: "1321-5058a1e728280"
Accept-Ranges: bytes
Content-Length: 4897
Content-Type: text/html; charset=UTF-8

3. Http Method 확인

# curl -v -X OPTIONS localhost

* About to connect() to localhost port 80 (#0)
*   Trying ::1...
* Connected to localhost (::1) port 80 (#0)
> OPTIONS / HTTP/1.1
> User-Agent: curl/7.29.0
> Host: localhost
> Accept: */*
>
< HTTP/1.1 403 Forbidden
< Date: Mon, 15 Nov 2021 08:32:01 GMT
< Server: Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips
< Last-Modified: Thu, 16 Oct 2014 13:20:58 GMT
< ETag: "1321-5058a1e728280"
< Accept-Ranges: bytes
< Content-Length: 4897
< Content-Type: text/html; charset=UTF-8
<
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.1//EN" "http://www.w3.org/TR/xhtml11/DTD/xhtml11.dtd"><html><head>
<meta http-equiv="content-type" content="text/html; charset=UTF-8">
                <title>Apache HTTP Server Test Page powered by CentOS</title>
                <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">

( ... ) 생략

 ****

추가

TRACE메소드를 제한하기 위해서 Apache 2.0.55 이후 버전부터 httpd.conf파일 안에 추가 명령어 필요

TraceEnable Off (명령어가 On으로 되어있다면 수정)

****

# curl -I -X OPTIONS localhost

HTTP/1.1 403 Forbidden
Date: Mon, 15 Nov 2021 08:32:38 GMT
Server: Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips
Last-Modified: Thu, 16 Oct 2014 13:20:58 GMT
ETag: "1321-5058a1e728280"
Accept-Ranges: bytes
Content-Length: 4897
Content-Type: text/html; charset=UTF-8

1. /etc 로 이동

$ cd /etc

2. hostname 파일 열기

$ sudo nano hostname

3. 원하는 이름으로 바꾸고 저장하기

4. reboot

5. 변경확인!

aws-ubuntu로 변경된 것을 확인할 수 있다.