Apache作為全球佔有率第一的Web服務器，安全加固是運維必修課。本文梳理十三大加固維度，附具體命令與配置片段，可直接落地執行。

一、賬號隔離：專用用戶運行，拒絕Root

groupadd apache
useradd -g apache -s /sbin/nologin apache
# httpd.conf 添加：
User apache
Group apache

檢查：ps aux | grep httpd 確認非root進程。

二、目錄權限收緊：主目錄、配置、日誌三層防線

• ServerRoot /usr/local/apache 屬主root:root，非超級用戶不可寫
• chmod 600 /etc/httpd/conf/httpd.conf 配置文件僅屬主讀寫
• chmod 644 /var/log/httpd/*.log 日誌屬主讀寫、他人只讀

三、日誌審計：記錄錯誤與訪問，格式統一

LogLevel notice
ErrorLog /var/log/httpd/error_log
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
CustomLog /var/log/httpd/access_log combined

四、禁止目錄遍歷與外部文件訪問

    Order Deny,Allow
    Deny from all



    Order Allow,Deny
    Allow from all

五、禁用目錄索引

Options FollowSymLinks  # 刪除 Indexes

六、錯誤頁面定制：隱藏版本信息

ErrorDocument 404 /custom404.html
ErrorDocument 500 /custom500.html
# 其餘400/401/403/405/502/503同理

七、抗DoS：調整超時與KeepAlive

Timeout 60
KeepAlive On
MaxKeepAliveRequests 100
KeepAliveTimeout 5

八、隱藏版本號

ServerSignature Off
ServerTokens Prod

九、關閉TRACE方法

TraceEnable Off  # Apache 2.0+

十、禁用無用CGI

#LoadModule cgi_module modules/mod_cgi.so
#ScriptAlias /cgi-bin/ "/var/www/cgi-bin/"

十一、監聽地址綁定特定IP

Listen 192.168.1.100:80  # 僅綁內網管理IP，拒絕公網直連

十二、清理默認文件

rm -rf /var/www/html/* /var/www/cgi-bin/* /usr/local/apache/manual

十三、禁用危險HTTP方法

    Allow GET POST
    Deny from all

驗證清單

1. httpd -t 語法檢查通過
2. systemctl restart httpd 重啟無錯
3. 掃描器掃描無高危漏洞
4. 日誌正常滾動、錯誤頁面生效

十三條落地，Apache安全基線即達標。持續關注CVE、定期打補丁，方能長治久安。