Отключить Tomcat7 Manager

Question

Веб-интерфейс http://localhost:8080/manager/html. Есть ли способ отключить или полностью удалить его? Просто спрашиваю, чтобы я не испортил некоторые настройки, зайдя и удалив вещи волей и неволей.

Причина, по которой я хочу избавиться от этого, состоит в том, что сервер продолжает блокироваться из-за того, что я считаю вредоносными скриптами, взломавшими пароль. Он блокируется и защищается, но я также не знаю, что это случилось, пока я не проверил вручную. Я не использую веб-менеджер, поэтому я считаю, что лучший способ решить эту проблему - просто полностью избавиться от него. Тем не менее, если у вас есть другое предложение, я тоже буду к этому открыт. Я попытался настроить RemoteAddrValve в manager.xml, как показано ниже, но у меня все еще есть проблема.

//I changed the ip address for this example.
<Context path="/manager" 
    docBase="/usr/share/tomcat7-admin/manager" 
    antiResourceLocking="false" privileged="true">

    <Valve className="org.apache.catalina.valves.RemoteAddrValve"
    allow="0\.0\.0\.0" denyStatus="404" />
</Context>

Answer 1

Согласно документам Tomcat 7:

"Приложение Manager по умолчанию недоступно, поскольку ни один пользователь не настроен с необходимым доступом".

Если вы считаете, что в приложении менеджера включен пользователь, вы можете отредактировать файл $CATALINA_BASE/conf/tomcat-users.xml. Просто прокомментируйте или удалите любые активные роли или имена пользователей в этом файле и перезапустите сервер, чтобы предотвратить доступ к приложению Manager.

Другой подход к OWASP (несколько устаревший) - переименовать приложение менеджера. Это подход "безопасность по неизвестности", но он может сработать, если какой-то ботнет просто нацелен на ваш сервер.

Наконец, я протестировал удаление менеджера webapp на Tomcat7 и отскок сервера. После этого пример веб-приложения Tomcat работал нормально, поэтому я подозреваю, что вы можете без проблем удалить менеджер, если только вы не зависите от него при развертывании веб-приложений.

Кроме того, база документации, используемая в вашем remoteAddrValve, выглядит странно. Я ожидаю, что это будет / usr / share / tomcat7-admin /webapps/ manager, если вы не столкнулись с проблемой изменения базы документации для всего вашего сервера.