默认Apache配置可以解除隐藏服务的伪装
相关标签： # 后端# 服务器# 漏洞# 软件# 软件
一名不知名的计算机科学学生发现了Apache Web服务器上一个长达一年的漏洞，该漏洞可能会揭开该用户的真实身份。隐藏在Tor网络后面的洋葱域和服务器。
几个月前，Reddit和Tor项目都报告了这个漏洞，但在一条Twitter消息发布后不久，它就成为了人们关注的焦点亚历克·穆菲特，一位著名的安全爱好者，目前是Facebook的软件工程师。
什么是Tor隐藏（.洋葱）服务？
黑暗的网站（通常被称为“洋葱服务”），有一个以结尾的特殊域名。洋葱被称为Tor隐藏服务，只能通过Tor网络访问。
Tor Hidden Service是一种广受欢迎的匿名网络，被告密者、地下市场、防御网络等使用，以便在互联网上保持保密。
洋葱网站可以托管在任何web服务器的顶部。但是，如果你选择Apache，那么你需要重新考虑。
Apache错误配置暴露了隐藏的服务器
根据报告，大多数Apache服务器发行版都附带mod_状态模块，默认情况下启用，该模块可能会公开用户的真实身份。洋葱域，使洋葱服务器面临被识别的风险。
Apache的mod_状态模块通过HTML界面帮助服务器管理员监控web服务器的运行状况，并且只能通过本地主机上的web浏览器访问。
访问URL时，每个服务器上都可以使用此模块的输出：https://website.com/server-status/
然而，跑步mod_状态模块使用Tor隐藏服务可能会导致公开“服务器状态”页面通过Tor daemon服务向世界传递信息。
如果默认启用，该页面将显示敏感的后端数据，如服务器设置、正常运行时间、资源使用情况、总流量、虚拟主机和活动HTTP请求，这些数据足以确定服务器位置。
“在这种情况下，恶意参与者会做什么？他们可能会监视潜在的敏感请求，”阅读关于这个问题的博客文章。“如果设置了时区，他们可以推断服务器的大致经度。如果存在clearnet虚拟主机，他们甚至可以确定其IP地址。”
如何在Apache上禁用mod_状态
现在，如果你经营一家公司。在任何Apache服务器上添加onion域，然后确保mod_状态已禁用。
为此，您可能需要在shell命令中运行以下代码：
sudo ap2dismod状态
- “ap2”代表Apache2
- “dis”代表禁用
- “mod”代表模块
之后不久，如果重新加载，则会出现403或404错误提示。错误消息将确保您不再易受该风险的影响。
特别声明：以上内容（图片及文字）均为互联网收集或者用户上传发布，本站仅提供信息存储服务！如有侵权或有涉及法律问题请联系我们。
举报
