Apache+Tomcat 연동 WEB-INF 접근 제어

Apache와 Tomcat 을 연동해서 서버를 구성했을 때,

주소창에 WEB-INF폴더 경로를 넣으면, 접근이 가능해서

web.xml의 내용을 그대로 보여주게되는..

보안상 취약점이 나타날때가 있다.

 

그럴땐,

Apache에서 WEB-INF 의 접근을 막아주도록 설정하면 된다.

 

httpd.conf파일에서 아래 내용을 추가해준다.

 

<Location "/WEB-INF">
        SetHandler WEB-INF
        Order deny,allow
        Deny from all
</Location>

 

만일 WEB-INF폴더가,

DocumentRoot path 바로 밑에 있지 않고,

다른 경로에 있다면.. Location의 path도 그에 맞게 수정해주어야 한다.

 

ex)

DocumentRoot "/myHome" 이고,

myHome 아래에 여러개의 사이트(a, b)가 존재하는 경우에는

아래와 같이 추가함.

 

<Location "a/WEB-INF">
        SetHandler WEB-INF
        Order deny,allow
        Deny from all
</Location>

 

<Location "b/WEB-INF">
        SetHandler WEB-INF
        Order deny,allow
        Deny from all
</Location>