Kā paslēpt Apache versijas numuru un citu sensitīvu informāciju

Kad attāli pieprasījumi tiek nosūtīti uz jūsu Apache tīmekļa serveri, pēc noklusējuma daļa vērtīgas informācijas, piemēram, tīmekļa servera versijas numurs, servera operētājsistēmas informācija, instalētie Apache moduļi un citi, servera ģenerētos dokumentos tiek nosūtīti atpakaļ klientam.

Šī ir daudz informācijas uzbrucējiem, lai izmantotu ievainojamības un piekļūtu jūsu tīmekļa serverim. Lai izvairītos no tīmekļa pārtraukuma informācijas parādīšanas, mēs šajā rakstā parādīsim, kā paslēpt Apache Web Server informāciju, izmantojot īpašas Apache direktīvas.

Divas svarīgas direktīvas ir:

Kas ļauj pievienot kājenes līniju, kurā servera ģenerētajos dokumentos, piemēram, kļūdu ziņojumos, mod_proxy ftp direktoriju sarakstos, mod_info izvadē un daudzos citos, tiek parādīts servera nosaukums un versijas numurs.

Tam ir trīs iespējamās vērtības:

  1. Ieslēgts - kas ļauj servera izveidotajos dokumentos pievienot pēdējās kājenes rindu,
  2. Izslēgts - atspējo kājenes līniju un
  3. E-pasts - izveido atsauci “mailto:”; kas nosūta atsauktā dokumenta pastu uz ServerAdmin.

Tas nosaka, vai servera atbildes galvenes laukā, kas tiek nosūtīts atpakaļ klientiem, ir servera OS tipa apraksts un informācija par iespējotiem Apache moduļiem.

Šai direktīvai ir šādas iespējamās vērtības (plus informācijas paraugs, kas nosūtīts klientiem, kad ir iestatīta konkrētā vērtība):

ServerTokens   Full (or not specified) 
Info sent to clients: Server: Apache/2.4.2 (Unix) PHP/4.2.2 MyMod/1.2 

ServerTokens   Prod[uctOnly] 
Info sent to clients: Server: Apache 

ServerTokens   Major 
Info sent to clients: Server: Apache/2 

ServerTokens   Minor 
Info sent to clients: Server: Apache/2.4 

ServerTokens   Min[imal] 
Info sent to clients: Server: Apache/2.4.2 

ServerTokens   OS 
Info sent to clients: Server: Apache/2.4.2 (Unix)

Piezīme: Pēc Apache versijas 2.0.44 direktīva ServerTokens kontrolē arī servera paraksta direktīvas piedāvāto informāciju.

Lai paslēptu tīmekļa servera versijas numuru, servera operētājsistēmas detaļas, instalētos Apache moduļus un daudz ko citu, atveriet savu Apache tīmekļa servera konfigurācijas failu, izmantojot iecienīto redaktoru:

$ sudo vi /etc/apache2/apache2.conf        #Debian/Ubuntu systems
$ sudo vi /etc/httpd/conf/httpd.conf       #RHEL/CentOS systems

Un pievienojiet/modificējiet/pievienojiet zemāk redzamās rindas:

ServerTokens Prod
ServerSignature Off

Saglabājiet failu, izejiet un restartējiet Apache tīmekļa serveri šādi:

$ sudo systemctl restart apache2  #SystemD
$ sudo service apache2 restart     #SysVInit

Šajā rakstā mēs paskaidrojām, kā paslēpt Apache tīmekļa servera versijas numuru un daudz vairāk informācijas par savu tīmekļa serveri, izmantojot noteiktas Apache direktīvas.

Ja Apache tīmekļa serverī izmantojat PHP, iesaku slēpt PHP versijas numuru.

Kā parasti, varat pievienot savas domas šai rokasgrāmatai, izmantojot zemāk esošo komentāru sadaļu.