Apache-versionumeron ja muun arkaluontoisen tiedon piilottaminen

Kun etäpyyntöjä lähetetään Apache-verkkopalvelimellesi, oletuksena joitakin arvokkaita tietoja, kuten verkkopalvelimen versionumero, palvelimen käyttöjärjestelmän tiedot, asennetut Apache-moduulit ja paljon muuta, lähetetään palvelimen luomissa asiakirjoissa takaisin asiakkaalle.

Tämä on paljon tietoa hyökkääjille hyödyntämään haavoittuvuuksia ja pääsemään Web-palvelimeesi. Välttääksemme Web-katkaisutietojen näyttämisen näytämme tässä artikkelissa kuinka piilottaa Apache-verkkopalvelimen tiedot tiettyjen Apache-ohjeiden avulla.

Kaksi tärkeää direktiiviä ovat:

Mikä sallii alatunnisteen, joka näyttää palvelimen nimen ja versionumeron, lisäämisen palvelimen luomiin asiakirjoihin, kuten virheilmoituksiin, mod_proxy ftp -hakemistoluetteloihin, mod_info -ulostuloon ja moniin muihin.

Sillä on kolme mahdollista arvoa:

  1. Päällä - mikä antaa mahdollisuuden lisätä alatunniste rivin palvelimen luomiin asiakirjoihin,
  2. Pois - poistaa alatunnisteviivan ja
  3. Sähköposti - luo "mailto:" -viitteen; joka lähettää sähköpostin viitatun asiakirjan ServerAdminille.

Se määrittää, sisältääkö asiakkaille takaisin lähetetty palvelimen vastausotsikkokenttä kuvaus palvelimen käyttöjärjestelmän tyypistä ja tiedoista käytössä olevista Apache-moduuleista.

Tällä direktiivillä on seuraavat mahdolliset arvot (plus näytetiedot lähetetään asiakkaille, kun tietty arvo on asetettu):

ServerTokens   Full (or not specified) 
Info sent to clients: Server: Apache/2.4.2 (Unix) PHP/4.2.2 MyMod/1.2 

ServerTokens   Prod[uctOnly] 
Info sent to clients: Server: Apache 

ServerTokens   Major 
Info sent to clients: Server: Apache/2 

ServerTokens   Minor 
Info sent to clients: Server: Apache/2.4 

ServerTokens   Min[imal] 
Info sent to clients: Server: Apache/2.4.2 

ServerTokens   OS 
Info sent to clients: Server: Apache/2.4.2 (Unix)

Huomautus: Apache-version 2.0.44 jälkeen ServerTokens-direktiivi ohjaa myös ServerSignature-direktiivin tarjoamia tietoja.

Piilota verkkopalvelimen versionumero, palvelimen käyttöjärjestelmän tiedot, asennetut Apache-moduulit ja paljon muuta avaamalla Apache-verkkopalvelimen määritystiedosto suosikkieditorilla:

$ sudo vi /etc/apache2/apache2.conf        #Debian/Ubuntu systems
$ sudo vi /etc/httpd/conf/httpd.conf       #RHEL/CentOS systems

Ja lisää/muokkaa/liitä alla olevat rivit:

ServerTokens Prod
ServerSignature Off

Tallenna tiedosto, poistu ja käynnistä Apache-verkkopalvelin seuraavasti:

$ sudo systemctl restart apache2  #SystemD
$ sudo service apache2 restart     #SysVInit

Tässä artikkelissa selitimme kuinka piilottaa Apache-verkkopalvelimen versionumero ja paljon muuta tietoa verkkopalvelimestasi käyttämällä tiettyjä Apache-direktiivejä.

Jos käytät PHP: tä Apache-verkkopalvelimellasi, suosittelen, että piilotat PHP-versionumeron.

Kuten tavallista, voit lisätä ajatuksesi tähän oppaaseen alla olevan kommenttiosan kautta.