系统漏洞包括操作系统本身的安全漏洞，以及运行在操作系统纸上的应用程序（例如Apache、Nginx、MySQL）的安全漏洞。本篇经验将和大家介绍系统漏洞检测及修复的方法，希望对大家的工作和学习有所帮助！
方法/步骤
1、ApacheUserDir漏洞名称：ApacheUserDir漏洞描述：早期版本的Apache默认会开启UserDir，这个无关功能会泄漏主机的账户名，也可能由于配置不当导致敏感文件被下载。检测方法：在浏览器里输入http://ip/~root，若目录存在（即HTTP状态码返回403），则说明UserDir开启。如下图所示：
2、修复方案：1.在Apache配置文件中取消UserDir，可能遇到的两种情况：（1）注释掉以下三行，然后重启Apache，如下图所示：（2）如果配置文件中没有上图中所示的三行，则添加（或修改）一行配置：UserDirdisable，然后重启Apache。2.升级到高版本的Apache（2.1.4及以上版本默认不开启UserDir）
3、目录浏览漏洞名称：Apache目录浏览漏洞描述：Apache默认配置时允许目录浏览。如果目录下没有索引文件，则会出现目录浏览，导致文件信息泄漏。检测方法：直接访问目录，如果能看到目录下的文件信息，则说明存在目录浏览漏洞。修复方案：在Apache配置文件中，将目录配置中的“Indexes”删除，或者改为“-Indexes”，如下图所示：
4、默认页面泄漏漏洞名缍硫赔笏称：Apache默认页面泄漏漏洞描述：Apache在安装后存在默认目录/icons/、/manual/检测方法晗稍噔猷：在浏览器里输入http://IP/icons/，http://IP/manual/，如果能访问，则说明存在默认页面泄漏漏洞。如下图所示：修复方案：1.对于Apache2，注释掉Apache配置文件中的目录配置中的以下两行：Alias/icons/"/usr/share/apache2/icons/"AliasMatch^/manual(?:/(?:de|en|es|fr|ja|ko|ru))?(/.*)?$"/usr/share/apache2/manual$1"2.或者删除配置文件中的icons、manual两个目录。
5、QHTTP或者其他WebServer404页面XSS漏洞名称：QH哌囿亡噱TTP404页面XSS漏洞描述：低版本的QHTTP在返回404页面时，未对URL进行编码，导致出现淌捌釜集XSS漏洞。检测方法：在浏览器里输入http://ip/xxx.xxx?a=<script>alert(0)</script>，若出现如下弹框，则说明存在XSS漏洞。修复方案：升级QHTTP到2.1及以上版本。升级版本可能带来性能问题，开发人员需要进行相关的性能测试。
6、任意文件读取漏洞名称：任意文件读取漏洞描述：低版本的WebServer在处理请求时存在漏洞，会泄漏服务器上任意文件内容。检测方法：在浏览器里输入http://ip/../../../../../etc/passwd，如果能访问，则说明存在任意文件读取漏洞。修复方案：如果使用QHTTP，请升级QHTTP到2.1及以上版本。升级版本可能带来性能问题，开发人员需要进行相关的性能测试。
7、TomcatTomcat默认管理后台漏洞名称：Tomcat默认管理后台漏洞描述：Tomcat在安装后默认能访问到后台管理登录页面。检测方法：在浏览器里输入http://ip/manager/html，若出现如下弹框，则说明存在Tomcat默认管理后台漏洞。修复方案：删除tomcat安装目录下webapps下的manager目录。
8、Tomcat默认页面泄漏漏洞名称：Tomcat默认页面泄漏漏洞描述：Tomcat在安装后存在默认页面。检测方法：直接访问Tomcat的默认页面，若出现如下页面，则说明存在默认页面泄漏漏洞。修复方案：删除这些与运营环境无关的目录。
9、MySQL空口令/弱口令漏洞名称：MySQL空口令/弱口令漏洞描述：MySQL服务器未设置root帐号口令或者某个帐号使用了简单的口令，导致可以远程不使用口令连接或者很容易猜测到帐号口令。检测方法：使用MySQL客户端以空口令登录或者帐号/口令形式进行猜解，如果能够登录，则表示存在MySQL空口令/弱口令漏洞。如下图所示：修复方案：在MySQL中为帐号加一个安全的口令。一个安全的口令应该包含以下四项中的三项：（1）大写字母（2）小写字母（3）特殊字符（4）数字
