TongWeb安全加固避坑指南：删掉这些目录和配置，轻松通过漏洞扫描

TongWeb安全瘦身实战：五步清理高风险组件通过漏洞扫描

每次安全扫描报告就像一场突如其来的健康体检，那些标红的中高危漏洞总是让运维团队如坐针毡。去年某金融客户就曾因TongWeb默认安装的ActiveMQ组件存在反序列化漏洞，导致系统被外部扫描工具标记为"高风险"。其实很多警报都源于我们惯性保留的非必要组件——它们像办公室角落堆积的过期文件，既占用资源又可能成为安全隐患。本文将揭示如何通过精准"断舍离"快速降低风险评分，这些方法曾帮助某政务云平台在48小时内将漏洞数量从37个降至5个。

1. 识别高危组件：安全扫描的常见靶点

漏洞扫描工具通常会重点检查那些已知存在CVE记录的开源组件。在TongWeb的默认安装目录中，以下三个位置最常引发警报：

/TongWeb7.0/applications/sysweb/WEB-INF/web.xml
/TongWeb7.0/samples/
/TongWeb7.0/apache-activemq/

典型风险组件对照表 ：

操作前务必确认这些组件确实未被业务使用。可通过 grep -r "ActiveMQConnectionFactory" /app/ 等命令搜索代码库中的调用痕迹。

2. 安全删除四步法：从确认到验证

2.1 组件使用状态确认

在删除前需要三重验证：

1. 检查控制台"JMS配置"是否启用消息队列
2. 查询日志中是否有DataGrid相关报错 grep "Hazelcast" ../logs/tongweb.log
3. 使用lsof命令确认端口占用情况 lsof -i:61616

2.2 安全删除操作指南

对于确认无用的组件，建议按以下顺序处理：

# 停止TongWeb服务
./twshutdown.sh

# 备份待删除目录（重要！）
tar -zcvf tongweb-bak-$(date +%Y%m%d).tar.gz \
    apache-activemq/ TongDataGrid/ samples/

# 执行删除
rm -rf apache-activemq/ TongDataGrid/ samples/

# 清理sysweb上传功能
sed -i '/<servlet-name>upload/,/<\/servlet-mapping>/d' \
    applications/sysweb/WEB-INF/web.xml

2.3 服务重启与验证

启动后需要检查：

• 控制台"系统组件"页面确认组件状态
• 执行 curl -v http://localhost:8080/samples/ 返回404
• 使用nmap扫描61616端口应显示关闭

3. 配置瘦身：隐藏的安全加分项

除了删除物理文件，这些配置优化能让安全评分再提升30%：

HTTP通道强化配置 ：

<!-- 在http通道的property属性中添加 -->
<property>
    <name>server</name>
    <value>Custom Server</value>
</property>
<property>
    <name>X-Frame-Options</name>
    <value>SAMEORIGIN</value>
</property>

容易被忽视的三个配置项 ：

1. 禁用AJP协议：注释掉conf/server.xml中的 <Connector port="8009" protocol="AJP/1.3"/>
2. 关闭Swagger文档：删除applications目录下的api-docs应用
3. 修改默认错误页：避免暴露服务器信息

4. 前后对比：某真实案例的优化效果

某电商平台在"双11"前安全评估中发现的问题及处理结果：

实际扫描报告显示，仅通过组件清理就解决了78%的中高危漏洞。剩余问题主要来自业务应用自身的安全缺陷。

5. 长效维护：建立安全基线检查表

建议将这些检查纳入日常维护流程：

每月安全检查清单 ：

1. 验证/tmp目录下无TongWeb临时文件
2. 检查logs目录权限是否为750
3. 确认无新增的.war备份文件
4. 审计crontab中是否有异常任务
5. 用命令 find . -name "*.jsp" -mtime -7 查找近期修改的JSP

对于持续集成环境，可以编写自动化检查脚本：

#!/bin/bash
# 安全基线检查脚本
TW_HOME=/opt/TongWeb7.0

check_component() {
    [ -d "$TW_HOME/apache-activemq" ] && \
        echo "[WARN] ActiveMQ目录存在" >> security_scan.log
    grep -q "upload" $TW_HOME/applications/sysweb/WEB-INF/web.xml && \
        echo "[WARN] 上传功能未关闭" >> security_scan.log
}

check_permission() {
    find $TW_HOME -perm -o=w -type f | grep -v "logs/" && \
        echo "[WARN] 存在全局可写文件" >> security_scan.log
}

main() {
    echo "安全扫描报告 $(date)" > security_scan.log
    check_component
    check_permission
}

记得在每次版本升级后重新检查，新版本可能会引入新的默认组件。去年TongWeb7.0.5更新时就重新启用了部分演示应用，导致多个客户在升级后被扫描出新的漏洞。