---
# System prepended metadata

title: 資安稽核找出 tomcat 的問題

---

# 資安稽核找出 tomcat 的問題

### 網站伺服器Tomcat相關目錄存在目錄瀏覽問題,使原本在Reverse Proxy架構下無法存取之Tomcat網頁可直接存取

解法: 修改 /opt/tomcat/conf/web.xml

將以下xml 註解起來，讓說明文件無法讀取就好
```
<!--
    <welcome-file-list>
        <welcome-file>index.html</welcome-file>
        <welcome-file>index.htm</welcome-file>
        <welcome-file>index.jsp</welcome-file>
    </welcome-file-list>
-->

```

### 有 Error 時，版本號會被看到

先到 /opt/tomcat/lib ，建立 org/apache/catalina/util 資料夾，然後建立一個文件 ServerInfo.properties
流程為
```
cd /opt/tomcat/lib
sudo -u tomcat mkdir -p org/apache/catalina/util
cd org/apache/catalina/util
sudo -u tomcat vi ServerInfo.properties
```
輸入
```
server.info=Apache Tomcat Version X
```
儲存後，
```
sudo systemctl restart tomcat
```
然後就可以看到版本變成 Apache Tomcat Version X

### 防範 xss 
jstl 中，最簡易的防範 xss 就是

```
${fn:escapeXml(變數)}
```

這個比 xss filter 還有效