Apache에서 아래와 같이, Deny from all설정으로 모든 디렉토리가 막혀있다.

이는 다른 설정없이 호출시, Fobbiden 오류가 발생하게 된다.

==============================

<Directory />

    Options FollowSymLinks

    AllowOverride None

    Order deny,allow

    Deny from all

</Directory>

==============================

 

Options

: 지정한 디렉토리이하에 모든 파일과 디렉토리들에 적용할 접근제어를 설정함. 즉 디렉토리를 보여줄 것인가? CGI를 허용할 것인가? SSI를 허용할 것인가? 등의 설정을 여기서 하게 된다. 


None

모든 허용을 하지 않음. 즉, None설정으로 이외의 다른 설정들은 모두 무시


All

MultiViews 를 제외한 모든 옵션설정을 허용


Indexes

디렉토리 접근시에 DirectoryIndex에서 지정한 파일(index.html 또는 index.htm 등)이 존재할 경우에 디렉토리내의 파일목록리스트를 웹브라우저로 보여준다. 웹서버 보안을 위해 사용하지 않는 것이 좋다. 


Includes

SSI 사용을 허용하는 설정. 단, mod_include.c 모듈이 아파치웹서버에 로딩되어 있어야 함. 거의 대부분이 기본 설정으로 되어 있음. 확인법은 "httpd -l"


IncludesNOEXEC

SSI사용은 허용되지만 #exec 사용과 #include는 허용되지 않는다. 즉, SSI를 사용하면서 시스템에 위험한 SSI의 실행태그는 허용하지 않겠다는 설정


FollowSymlinks

심볼의 링크를 허용한다. 이 옵션을 지정하면 웹브라우저에서 링크파일의 경로까지도 확인할 수 있게 된다. 보안상 이 값은 설정하지 않는 것이 좋다.


ExecCGI

perl 등과 같은 CGI실행을 허용하기 위한 설정이다. 원래 아파치에서 CGI사용은 ScriptAlias로 지정된 위치에서 사용하는 것이 기본이다. 하지만 ScriptAlias가 지정되지 않은 디렉토리에 이 옵션이 지정되어 있다면 지정된 디렉토리내에서는 CGI 사용이 허용된다. 물론 이 경우에도 "AddHandler cgi-script" 지시자에서 정의한 확장자만 유효하다. 참고로 perl 등의 CGI실행이 안될 경우에는 ExecCGI값이 설정 되어 있나를 확인해 봐야 한다. 이 설정이 않되어 있다면 해당 디렉토리내에서는 CGI의 실행이 허용되지 않기 때문이다.


MultiViews

웹브라우저의 요청에 따라 적절한 페이지로 보여준다. 웹브라우저의 종류나 웹문서의 종류에 따라서 가장 적합한 페이지를 보여줄 수 있도록 하는 설정이다.

 


AllowOverride

: 어떻게 접근을 허락할 것인가에 대한 설정.


None

AccessFileName에 지정된 파일을 엑세스 인증파일로 인식하지 않는다. 즉, AccessFileName 의 값이 대부분 .htaccess 이므로 이를 무시하게 된다는 의미가 된다. 즉 이 파일을 무시하기 때문에 새로운 접근 인증박싱을 Override하지 않는다. 대부분ㅇ 보아이나 중요한 디렉토리에서 사용할 수 있는 것으로 아주 제한적인 접근만을 허용하고자 할 때에 사용하는 값이다.


All

이전의 인증방식에 대하여 새로운 접근인증방식을 우선적용하도록 Override를 허용한다.


AuthConfig

AccessFileName 지시자에 명시한 파일(거의 대부분은 .htaccess)에 대하여 AuthDBMgroupFile, AuthGroupFile, AuthName, AuthType, AuthUserFile, require 등과 같은 클라이언트 인증지시자의 사용을 허용한다. 즉 htpasswd 유틸리티를 이용하여 특정 디렉토리의 접근은 AccessFileName에 명시한 파일(대부분은 .htaceess)로 제어하고자 할 때에 (이를 "디렉토리 인증설정"이라고 함) 해당 디렉토리내에 이 값을 주로 사용한다.


FileInfo

AccessFileName지시자에 명시한 파일(거의 대부분은 .htaccess)에 대하여 AddEncoding, AddLanguage, AddType, DefaultType, ErrorDocument, LanguagePriority 등과 같은 문서유형을 제어하는 지시자 사용을 허용한다.


Indexes

AccessFileName 지시자에 명시한 파일(대부분 .htaccess파일)에 대하여 AddDescription, AddIcon, AddIconByEncoding, AddIconByType, DefaultIcon, DirectoryIndex, FancyIndexing, HeaderName, IndexIgnore, IndexOptions, ReadmeName 등과 같은 디렉토리 Indexing을 제어하는 지시자 사용을 허용한다.


Limit

AccessFileName 지시자에 명시한 파일(대부분 .htaccess파일)에 대하여 allow, deny, 그리고 order 등과 같은 호스트 접근을 제어하는 지시자 사용을 허용한다.


Options

AccessFileName 지시자에 명시한 파일(대부분 .htaccess파일)에 대하여 Options 그리고 XBitHack등과 같은 특정 디렉토리 옵션을 제어하는 지시자 사용을 허용한다.

 

 

 

 

     

     

쓰고자 하는 디렉토리는 아래와 같이,

설정을 해야 정상적으로 호출을 할 수 있다.

     

     

<Directory "C:/Program Files/Apache Software Foundation/Apache2.2/htdocs">

    #

    # Possible values for the Options directive are "None", "All",

    # or any combination of:

    #   Indexes Includes FollowSymLinks SymLinksifOwnerMatch ExecCGI MultiViews

    #

    # Note that "MultiViews" must be named *explicitly* --- "Options All"

    # doesn't give it to you.

    #

    # The Options directive is both complicated and important.  Please see

# http://httpd.apache.org/docs/2.2/mod/core.html#options

# for more information.

#

Options Indexes FollowSymLinks

#

# AllowOverride controls what directives may be placed in .htaccess files.

# It can be "All", "None", or any combination of the keywords:

# Options FileInfo AuthConfig Limit

#

AllowOverride None

#

# Controls who can get stuff from this server.

#

Order allow,deny

Allow from all

</Directory>

 

<Directory "C:/Program Files/Apache Software Foundation/Apache2.2/cgi-bin">

AllowOverride None

Options None

Order allow,deny

Allow from all

</Directory>

 

<Directory "C:/webapps/app1">

AllowOverride None

Options None

Order allow,deny

Allow from all

</Directory>

 

<Directory "C:/webapps/app2">

AllowOverride None

Options None

Order allow,deny

Allow from all

</Directory>



출처: http://mcpaint.tistory.com/133 [MC빼인트와 함께]


 

apache 를 재시작하는 방법으로는 크게  restart 와 graceful 이 있습니다.

재시작하는건 동일하지만 약간의 차이가 있습니다.

restart (kill -HUP)

restart 의 경우 apache 의 모든 프로세스를 종료 시키고 재시작합니다.  stop 한후 start와 동일합니다.

완전한 종료는 되지만 서비스 끊김이 발생합니다.

graceful (kill -USR1) 

graceful 의 경우 접속된 컨넥션은 유지하고 그외 apache  모든 프로세스를 종료하고 재시작합니다.

이때 세션의 종료 없이 설정파일을 불러서 재실행합니다.

운영중인 서버에 작업을 하고 재시작할때는 restart 보다는 graceful 옵션을 사용하는걸 추천합니다.

 

출처 : https://idchowto.com/?p=38239

 

대부분의 많은 사용자들이 apache 설정 변경 후 restart를 진행 합니다.

 

가상호스트가 추가 되어도 restart

apache의 ServerName이 변경되어도 restart

 

restart를 진행하면 프로세스가 모두 종료하고 재시작 되기때문에 세션이 끊어지는 문제가 있습니다.

 

 

apache의 재시작 방법은 restart/graceful 이렇게 두가지가 존재 합니다.

 

restart (kill -HUP)
- httpd 모든 프로세스를 찾아 종료시키고 재시작 시그널 주는것이다.

graceful (kill -USR1)
- 현재 접속된 컨넥션은 그대로 유지하고 그외 httpd 모든 프로세스를
찾아 종료시키고 재시작 시그널 주는것이다.

예1) /usr/local/apache2/bin/apachectl restart

이 경우 완벽한 재시작은 이루어지지만, 서비스가 끊김 발생

예2) /usr/local/apache2/bin/apachectl graceful

서비스의  세션 및 연결 종료 없이 conf 설정 파일 불러서 재실행

 

서비스 운영 중에 추가되는 작업들은 restart 보다는 graceful 옵션을 통해 재시작 해주시는 것이 좋습니다.

 

단, 모듈 추가 등의 apache 내에 삽입되어야 하는 작업들은 반드시 restart를 해주셔야 합니다.

 

출처 : http://faq.hostway.co.kr/Linux_WEB/3665


html 문서 내에 php 코드를 입력하여 결과를 보려는데 해당 결과가 화면에 출력이 안될 때

이경우는 웹서버의 설정(httpd.conf)  에 AddType application/x-httpd-php .html .htm

를 추가해 주면 인식이 된다.

* 계정별로 별도로 적용하고 싶다면 .htaccess 파일내에 위의 구문을 넣고 유저 디렉토리에 넣어주면
  적용된다.


Apache 2.4.x 버전대에서 아파치를 실행하려고 할 때 아래와 같은 메시지가 나온다.

AH00548: NameVirtualHost has no effect and will be removed in the next release

2.4버전 이상에서는 NameVirtualHost 설정이 더 이상 필요없다고 하니

해당 라인을 찾아서 주석처리 하거나 라인을 삭제하자.

 

Description : 아파치가 접근할 수 있는 각 디렉토리에 대하여 어떤 서비스와 기능을 허용할 것인지 
거부할 것인지 여부를 설정할 수 있다. 디렉토리에 대한 설정 내용은 그 하부 디렉토리에도 영향을 
미친다.

 Syntax : <Directory directory-path> ... </Directory>


< Directory> tag에 의하여 각 directory마다 적절하게 permission을 걸수가 있다.

<Directory />
Options FollowSymLinks
AllowOverride None
< /Directory>

DocumentRoot 값으로 변경

<Directory "/home/httpd/html">

지정할수 있는  옵션의 예이다.
None
어떤 옵션도 이용할 수 없다.
All 지정한 directory에서 모든 명령을 이용할 수 있다.
Indexes URL에 지정된 디렉토리에 (index.html 같은) 지정된 파일이 없을 경우 디렉토리의 파일 목록을 보여주는 옵션.
Includes 서버측의 추가적인 정보를 제공할 수 있게 한다.
IncludesNoExec 서버측의 추가적인 정보를 제공할 수 있게 하지만, 어떠한 실행 파일을 실행하는 것을 방지한다. 
FollowSymLinks  디렉토리상의 심볼릭 링크를 사용가능하게 한다.
ExecCGI CGI 스크립트를 실행할 수 있게 한다.
MultiViews  All 옵션이 설정되었을 때만 지정된 목록의 multiviews를 허용한다.

AllowOverride None
.htaccess파일은 서버의 각 디렉토리에 만들어서 각 디렉토리에 대한 접근을 제어하기 위한 것으로 디렉토리에 .htaccess파일이 있으면, 서버 전체에 작용하는 access.conf 보다 우선권을 가진다.

.htaccess파일에 대한 Override에 대한 옵션이다.
None .htaccess파일을 읽을 수 없게 한다.
All 모든 지정에 대해 가능하게 한다.
Options 규정된 디렉토리 형식을 콘트롤하는 지정의 사용을 허락한다.
FileInfo 문서형식을 콘트롤하는 지정의 사용을 허용한다.
AuthConfig  사용자 인증 지정의 사용을 허용한다. 사용자 인증 변수를 사용한다.
Limit 호스트 접근을 콘트롤하는 지정을 허용한다.

서버로부터 자료를 얻어갈 수 있는 위치를 제어한다.
Order allow,deny
Allow from all
Deny from env=no_access

Limit에 관련된 부분을 설정을 한다.

order : 서버가 access control을 수행하는 순서를 나타낸다. 여기서는 allow기능을 먼저 수행하고, deny기능을 수행하라는 것이다.

deny, allow - deny 지시자 부터 검사하고 allow 지시자를 검사
allow, deny - allow 지시자 부터 검사하고 deny 지시자를 검사
mutual-failure - allow목록에 없는 모든 host에게 접속을 거부

allow from : 나열되는 주소들에 대한 access control을 가능하게 한다. 
사용 가능한 주소는 도메인 네임, 호스트 이름 주소, 호스트 ip 주소, ip 주소의 앞부분 3바이트, 모든 주소에 해당하는 all이 있다.
deny from : allow from과 반대되는 개념이다.
< /Directory>

ex1)

<Directory "/www/n">
   Options FollowSymLinks MultiViews
    AllowOverride None
    Order allow,deny
    Allow from all
< /Directory>



ex2)

<Directory /a/service/html/>
    Options FollowSymLinks MultiViews Includes
    AllowOverride None

    Order allow,deny
    Allow from all
< /Directory>

<Directory />
    Options FollowSymLinks
    AllowOverride None
< /Directory>



출처 : http://0thinktank.tistory.com/91


 

검색엔진을 제어해야 하는 이유는 불필요한 검색 트래픽 낭비를 줄여 불필요한 네트워크 사용을 제한

 

노출을 원하지 않는 검색엔진에 자신의 홈페이지 정보를 제어할수 있다.

robot.txt

 

로봇이 임의의 SITE/ 에 방문하면 먼저 SITE/robots.txt 파일 호출함 (정상적인 정보 수집 BOT일때)
로봇의 접근 권한 및 접근가능한 경로에 대한 정보를 분석하여 자신이 수집해도 되는 콘텐트만을 수집한다

웹 사이트의 최상위 루트에 robots.txt 파일이 있어야함
robots.txt 화일에는 최소한 한개의 “disallow” 필드(field)가 존재해야 함

robot.txt 파일이름은 소문자로 작성 (공백 허용되지 않음) 

 

ex) 예제들

 

홈페이지 전체가 모든 검색엔진에 노출되기를 원치 않음
User-agent: *

 

Disallow: /

 

홈페이지 전체가 모든 검색엔진에 노출되기를 원함
User-agent: *

Disallow:

 

홈페이지 디렉토리중 일부만 검색엔진에 노출하고 싶음

User-agent: *
Disallow: /my_photo/
Disallow: /my_diary/

 

홈페이지 전체를 노출시키지만 특정 검색엔진 (EvilRobot)만 거부
User-agent: EvilRobot
Disallow: /

 

홈페이지 전체가 노출되지만 특정검색엔진에서만 노출되기를 원함
User-agent: NaverBot
Disallow:
User-agent: *
Disallow: /

 

/help.html과 /help/index.html 둘 다 허용 안함
disallow: /help

/help/index.html는 허용 안하나, /help.html은 허용 됨. 
disallow: /help/ 

루트 하위에 있는 xml 확장자를 가진 모든 파일의 색인을 거부
Disallow: /*.xml$ 

루트에 test.html 과 ?가 포함된 파일의 색인을 거부한다
Disallow: /test.html? 

 

구글의 이미지를 검색하는 로봇에게 gif와 jpg로 된 이미지를 모두 검색하지 않도록 함

User-agent: Googlebot-Image
Disallow: /*.gif$
Disallow: /*.jpg$ 

예외적인 상황들

HTML (HEAD) 와 (/HEAD) 사이에 (META NAME=”ROBOTS” CONTENT=”NOINDEX, NOFOLLOW”)
라는 메타태크그를 추가함으로써 문서 하나하나에 대해 정확하게 명시를 해주므로 가장 확실하게 로봇 접근을 차단할수 있음

 

검색엔진에 Robot를 차단하더라도 자신의 페이지중 일부가 나타날수 있음
기타 문서나 사이트들이 자신의 웹 문서를 링크할 경우 자동적으로 생성되어 나타날수 있음
이 경우 Robot 과 무관함 (robots.txt 를 무시하는 로봇들도 있을수 있음)
Robot 들의 IP들을 알 경우 IP를 통해 정책수립해도 상관없음

주석문을 작성하기 위해서는 앞에 #를 적어주시면 됩니다. 

로봇의 이름은 개별 검색사이트를 방문해야함

 

로봇들 Agent 이름명

 

구글: Googlebot
구글 이미지 : googlebot-image
네이버 : cowbot

 

네이버 : User-Agent: Yeti/1.0 (NHN Corp.; http://help.naver.com/robots/)
야후 : Slurp
야후 이미지 : Yahoo-MMCrawler
엠파스봇 : empas
MSN : MSNBot
첫눈: 1Noonbot 1.0

다음 : daumoa

 

실제 Apache Log (구글봇 접근)

 

61.xx.xx.84 – – [22/Aug/2010:06:10:03 +0900] “GET /robots.txt HTTP/1.1” 404 –
61.xx.xx.84 – – [22/Aug/2010:06:10:03 +0900] “GET /152 HTTP/1.1” 200 54216

 

61.xx.xx.84 로봇이 접근해서 robot.txt 파일을 읽었는데 404에러 robot.txt 파일이 없다.???
없으니깐 /152번 글을 GET 해가지고 갔다? 200 정상 메세지니깐??

 

 봇 아이피를 이용한 제어

 

IP 기반으로 차단하기 위해서는 해당 봇들에 대한 아이피 정보들을 가지고 있어야 함

 

아래 사이트에서는 각 검색엔진들의 아이피 정보를 제공한다.

 

http://iplists.com

사이트 접근하면 각종 봇들에 대한 아이피 대역 리스트를 받아 볼수 있음.

해당 사이트의 정보들을 가지고 방화벽 운영해본 결과 그럭저럭 맞는거 같음

 

참조 URL : http://idchowto.com/?p=591


[Wed May 01 23:28:43 2013] [warn] Invalid command 'CBandLimit', undefined virtualhost name
[Wed May 01 23:28:43 2013] [warn] Invalid command 'CBandPeriod', undefined virtualhost name
 
위의 로그가 아파치 재시작 또는 문법 검증시 나타난다면

아파치 가상 호스트 설정파일에 ServerName 지시자가 주석처리되어 있거나 정의되지 않는 항목이 있는지

전체적으로 점검해 보아야 한다. 특히 Warning 로그에 해당 라인번호가 명시되지 않으니

수동으로 다 확인해야 한다.



## 설치 환경

- OS : CentOS 6
- 아파치 : httpd 2.4.25
- mod_url : 1.6.2.7 (최신버전인 1.8 버전은 컴파일 과정에서 에러남)

# 아파치 설치과정 : 본 블로그의 다른 게시물 참조

mod_url 설치를 위해서 최신 버전을 설치하려고 했으나 컴파일 에러 발생.
따라서 약간 버전이 낮은 것으로 컴파일 하여 설치 성공

[ Download & 소스 설치 ]  2186-mod_url-apache2-1.6.2.7.tar.bz2


# wget http://kldp.net/modurl/release/2186-mod_url-apache2-1.6.2.7.tar.bz2
# bzip2 -d 2186-mod_url-apache2-1.6.2.7.tar.bz2
# tar -xvf mod_url-apache2-1.6.27.tar

[ 컴파일 ]

# /usr/local/apache/bin/apxs -i -a -c mod_url.c

그러면 아파치 모듈 디렉토리 (/usr/local/apache/modules) 에 설치된다. (755 권한인지 확인)

-rwxr-xr-x 1 root root 13775  6월  5 18:24 mod_url.so

[ 환경 설정 ]

아파치 설정파일 httpd.conf 에 아래 부분이 이미 추가 되어 있다.

LoadModule redurl_module      modules/mod_url.so

그 하단에

<IfModule mod_url.c>
        CheckURL On
</IfModule>

부분만 추가시키고 아파치 웹 서버를 재구동 시킨다.


php : php-5.2.17
apache : httpd-2.2.32

apache/conf/httpd.conf 파일 오픈

   <IfModule dir_module>

             DirectoryIndex index.html

   </IfModule>                 이렇게 되어 있는 내용을

 

   <IfModule dir_module>

             DirectoryIndex index.html index.htm index.php index.php3

   </IfModule>                 이렇게 변경

 

   <IfModule mime_module>

             ………

             AddType application/x-compress .Z

             AddType application/x-gzip .gz .tgz

             ………

   </IfModule>

 

 AddType application/x-gzip .gz .tgz 이부분 아래에

 AddType application/x-httpd-php .php .html .htm .inc

 Addtype application/x-httpd-php-source .phps 이렇게 두줄 추가

출처: http://qkrgns208.tistory.com/68 [후니의 블로그]


Apache 2.4.x 버전 설치과정 중 configure 시 아래와 같은 메시지가 발생하면

configure: error: pcre-config for libpcre not found.
PCRE is required and available from http://pcre.org/

yum -y install pcre-devel