CentOS下Apache 2.x的安装、优化及安全设置

为了加快客户端的页面读取速度，我们需要安装配置mod_deflate这个网页压缩模块。该模块已被Apache 2.x内置，不需要重新安装，可直接在/home/apache/conf/httpd.conf里进行配置。
kate /home/apache/conf/httpd.conf
加入以下选项

#启用mod_deflate这个网页压缩模块
LoadModule deflate_module modules/mod_deflate.so
<IfModule mod_deflate.c>
#以下三句是启用deflate的日志
#DeflateFilterNote ratio
#LogFormat '"%v %h %l %u %t "%r" %>s %b "%{Referer}i" "%{User-Agent}i"" (%{ratio}n)' deflate
#CustomLog logs/deflate_log deflate
#以上三句是启用deflate的日志
<Location />
# 插入过滤器
SetOutputFilter DEFLATE
# Netscape 4.x 有一些问题...
BrowserMatch ^Mozilla/4 gzip-only-text/html
# Netscape 4.06-4.08 有更多的问题
BrowserMatch ^Mozilla/4\.0[678] no-gzip
# MSIE 会伪装成 Netscape ，但是事实上它没有问题
BrowserMatch \bMSIE !no-gzip !gzip-only-text/html
# 不压缩图片
SetEnvIfNoCase Request_URI \
\.(?:gif|jpe?g|png)$ no-gzip dont-vary
# 确保代理不会发送错误的内容
Header append Vary User-Agent env=!dont-vary
</Location>
</IfModule>
----------------------------------------------------------------------------------------------------------------------------------------------------------------------
为了防止恶意用户对Apache进行攻击，我们需要安装mod_security这个安全模块

mod_security 1.9.x模块的下载与安装

下载地址：http://www.modsecurity.org/download/index.html

建议使用1.9.x，因为2.x的配置指令与1.x完全不同，解压后进入解压目录，执行：

/home/apache/bin/apxs -cia mod_security.c

编译完成后，/home/apache/modules下会生成一个mod_security.so文件

然后kate /home/apache/conf/httpd.conf

加入以下选项（如果没有的话）

#启用mod_security这个安全模块
LoadModule security_module modules/mod_security.so (这一句通常会被自动加入)
<IfModule mod_security.c>
# 打开过滤引擎开关。如果是Off，那么下面这些都不起作用了。
SecFilterEngine On
# 把设置传递给字目录
SecFilterInheritance Off
# 检查url编码
SecFilterCheckURLEncoding On
# 检测内容长度以避免堆溢出攻击
#SecFilterForceByteRange 32 126
# 日志的文件和位置。一定要先建立好目录，否则apache重新启动的时候会报错。
SecAuditLog logs/audit_log
# debug的设置
#SecFilterDebugLog logs/modsec_debug_log
#SecFilterDebugLevel 1
#当匹配chmod,wget等命令的时候,重新定向到一个特殊的页面,让攻击者知难而退
SecFilter chmod redirect:http://www.sina.com
SecFilter wget redirect:http://www.sina.com
#检测POST数据，注意，请甚用这个开关，可能会导致一些post页面无法访问。详细的信息，请察看www.modsecurity.org的文档，其中有详细的post编码要求。
#SecFilterScanPOST Off
# 缺省的动作
SecFilterDefaultAction "deny,log,status:406"
# 重新定向用户
#SecFilter xxx redirect:http://www.sina.com
# 防止操作系统关键词攻击
SecFilter /etc/*passwd
SecFilter /bin/*sh
# 防止double dot攻击
SecFilter "\.\./"
# 防止跨站脚本(CSS)攻击
SecFilter "<( |\n)*script"
# Prevent XSS atacks (HTML/Javascript injection)
SecFilter "<(.|\n)+>"
# 防止sql注入式攻击
SecFilter "delete[[:space:]]+from"
SecFilter "insert[[:space:]]+into"
SecFilter "select.+from"
#重定向exe和asp请求
SecFilterSelective REQUEST_URI "\.exe" "redirect:http://www.google.com"
SecFilterSelective REQUEST_URI "\.asp" "redirect:http://www.google.com"
#下面是限制了upload.php文件只能用来上传jpeg.bmp和gif的图片
#<Location /upload.php>
#SecFilterInheritance On
#SecFilterSelective POST_PAYLOAD "!image/(jpeg|bmp|gif)"
#</Location>
#伪装服务器标识
SecServerSignature "Microsoft-IIS/6.0"
</IfModule>

保存后重启apache即可！
----------------------------------------------------------------------------------------------------------------------------------------------------------------------