禁用 Tomcat7 管理器

Question

Web 界面 http://localhost:8080/manager/html。有没有办法禁用或完全删除它？只是问，这样我就不会通过随意删除内容来弄乱某些设置。

我想摆脱它的原因是，由于我认为是恶意脚本暴力破解密码，服务器不断被阻止。它会锁定并保护自己，但在我手动检查之前，我也不知道这已经发生了。我不使用网络管理器，所以我认为解决这个问题的最佳方法是完全摆脱它。也就是说，如果您有其他建议，我也愿意接受。我尝试在管理器中设置远程AddrValve.xml如下所示，但我仍然遇到问题。

//I changed the ip address for this example.
<Context path="/manager" 
    docBase="/usr/share/tomcat7-admin/manager" 
    antiResourceLocking="false" privileged="true">
    <Valve className="org.apache.catalina.valves.RemoteAddrValve"
    allow="0.0.0.0" denyStatus="404" />
</Context>

Answer 1

根据 Tomcat 7 文档：

"默认情况下无法访问管理器应用程序，因为没有为任何用户配置必要的访问权限。">

如果您认为管理器应用程序中启用了用户，则可以编辑 $CATALINA_BASE/conf/tomcat-users.xml。 只需注释或删除该文件中的任何活动角色或用户名，然后重新启动服务器即可阻止访问 Manager 应用程序。

每个 OWASP 的另一种方法(有些过时(是重命名您的管理器应用程序。 这是一种"隐蔽性安全性"方法，但如果某些僵尸网络只是随机针对您的服务器，则可能会起作用。

最后，我测试了在Tomcat7上删除管理器Web应用程序并弹跳服务器。 Tomcat 示例 Web 应用程序在那之后运行良好，所以我怀疑您可以删除管理器而不会产生不良影响，只要您不依赖它来部署 Web 应用程序。

此外，远程AddrValve中使用的文档库看起来很奇怪。 我希望它是/usr/share/tomcat7-admin/webapps/manager，除非您已经经历了更改整个服务器的文档库的麻烦。