Tomcat 에서 400, 505 에러페이지 적용 안될때

보통 서버 버전정보 나와서 잡는 취약점인데

400, 505는 web.xml에 에러페이지 설정해도 안될때가 있당께

 

Tomcat 7.0.55 버전 이상이면

Tomcat/conf/server.xml 에 아래와 같이 설정하면 버전정보 나오는건 막을 수 있다

 

<Host name="localhost"  appBase="webapps"
            unpackWARs="true" autoDeploy="false">

        <!-- SingleSignOn valve, share authentication between web applications
             Documentation at: /docs/config/valve.html -->
        <!--
        <Valve className="org.apache.catalina.authenticator.SingleSignOn" />
        -->

        <!-- Access log processes all example.
             Documentation at: /docs/config/valve.html
             Note: The pattern used is equivalent to using pattern="common" -->
        <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
               prefix="localhost_access_log" suffix=".txt"
               pattern="%h %l %u %t &quot;%r&quot; %s %b" />
        <Valve className="org.apache.catalina.valves.ErrorReportValve" showReport="false" showServerInfo="false"/>