隐藏服务器header与web软件版本信息

引入

   每次当浏览器向Web服务器发起一个请求的时，都会伴随着一些HTTP头的发送.而这些HTTP头是用于给Web服务器提供一些额外信息以便于处理请求。比如说吧。如果浏览器支持压缩功能，则浏览器会发送Accept-Encoding HTTP头，这样一来服务器便知道浏览器可以使用哪种压缩算法。还有任何在上一次传输中服务端设置的cookies也会通过Cookies HTTP头来回传到服务器，浏览器还会发送用于让服务端知道客户使用的是何种浏览器（IE,火狐，Safari等），浏览器版本，操作系统以及其他相关信息的User-Agent HTTP头。

    同样，Web服务器也会在发送回客户端时伴随着一些HTTP头,这些HTTP头可以通知浏览器如何生成相应的内容和缓存内容的时间，Web服务器也会发送自身的识别信息，这很像User-Agent HTTP头,这些头信息包括Web服务器的版本以及当前使用的ASP.Net的版本.

    在某些情况下一些HTTP头是必须的，然而Web服务器的自身识别头信息却并不是那么必要，这些信息会让每次的传输多出100字节左右。好吧，我同意100字节单独来说并不是一个很大的数字，但在传输成千上万次时，这些信息也不可小觑。此外，提供服务器信息也会导致安全问题，有些攻击者很了解特定的服务器以及特定的Asp.net版本所包含的漏洞，他们会扫描大量服务器然后选择特定的服务器（译者按:比如IIS和Asp.net 2.0.50727）来作为他们的攻击目标。

对于黑客来说，入侵第一步，一般都是先扫描，这些扫描包括服务器的类型，提供服务的软件和版本号以及端口，然后针对这些系统或软件的相应漏洞进行入侵。那么如何来隐藏这些信息呢？这就是今天的技术内容。

1、隐藏服务器系统信息

在缺省情况下，当你登陆到linux系统，它会告诉你该linux发行版的名称、版本、内核版本、服务器的名称。为了不让这些默认的信息泄露出来，我们要进行下面的操作，让它只显示一个"login:"提示符。 
删除/etc/issue和/etc/issue.net这两个文件。 
本地登陆输入用户名和密码前显示的信息写在/etc/issue，当然，在这个文件你也可以写入其他的信息。 
而/etc/issue.net是供telnet这个远端登入显示的信息，默认里面内容与/etc/issue是一样的。不过，这个现在好像没有什么人在用吧！ 
下面我就简单的了解一下issue文件中的一些代码含义

\d 本地端时间的日期； 
\l 显示第几个终端机介面； 
\m 显示硬体的等级 (i386/i486/i586/i686...)； 
\n 显示主机的网路名称； 
\o 显示 domain name； 
\r 作业系统的版本 (相当于 uname -r) 
\t 显示本地端时间的时间； 
\s 作业系统的名称； 
\v 作业系统的版本。

在这里顺便说一下，登陆系统后显示的信息修改方法（PS：如果系统真到了这一步，那已经说明成为了别人的肉机了啊！）。

登陆系统后的信息是写在/etc/motd文件中，默认是空的，你可以在这里面写你想显示的信息。

2、常用的服务软件版本信息屏蔽

上面讲了如何把服务器的信息屏蔽，那么我在服务器上提供服务的软件版本信息如何隐藏呢？下面介绍目前几个常用的服务软件版本信息屏蔽。

先来介绍一个命令。

curl --head http://localhost 
查看服务器提供HTTP服务的相关信息 
这里会显示你的HTTP是什么程序，哪个版本如 
Server: nginx/0.8.36 
还有PHP的相关信息 
X-Powered-By: PHP/5.2.14

下面就是如何来隐藏这些信息了

隐藏apache版本信息:

开启 httpd.conf，加入以下两行: 
ServerTokens ProductOnly 
ServerSignature Off

隐藏Nginx版本信息:

开启 nginx.conf，在http { }里加上： 
server_tokens off;

不过还有一个地方感觉需要稍作修改  当在 nginx.conf 文件里 添加 server_tokens off; 时  使用 curl 仍会显示出 nginx 服务器  所以要在编译前多修改一处地方：src/http/ngx_http_header_filter_module.c  将 static char ngx_http_server_string[] = "Server: nginx" CRLF;  替换为  static char ngx_http_server_string[] = "Server: Microsoft-IIS" CRLF;

还有个更厉害的东西 叫做 Nginx Http Headers More Module 可以让你随便乱改http://wiki.nginx.org/NginxHttpHeadersMoreModule

隐藏php-fpm版本信息：

开启php-fpm配置文件,找到： 
fastcgi_param SERVER_SOFTWARE nginx/$nginx_version; 
改为： 
fastcgi_param SERVER_SOFTWARE nginx0.0.0; #(这个nginx0.0.0就是显示的内容)

隐藏PHP版本信息：

开启php.ini，加入: 
expose_php = Off

完成以上设定后，重新启动 Apache/Nginx 即可。

3、移除IIS默认的响应头

在IIS+ASP.NET的运行环境，默认情况下会输出以下的响应头（Response Headers）：

那如何移除这些响应头呢？下面我们来一个一个移除。

1. 移除Server

借助IIS URL Rewrite Module，添加如下的重写规则：

<rewrite>
        <allowedServerVariables>
            <add name="REMOTE_ADDR" />
        </allowedServerVariables>            
        <outboundRules>
            <rule name="REMOVE_RESPONSE_SERVER">
                <match serverVariable="RESPONSE_SERVER" pattern=".*" />
                <action type="Rewrite" />
            </rule>
        </outboundRules>
</rewrite>

重写规则存放在C:\Windows\System32\inetsrv\config\applicationHost.config中。

2. 移除X-AspNet-Version

在web.config的<httpRuntime>中添加enableVersionHeader="false"：

<httpRuntime enableVersionHeader="false" />

3. 移除X-AspNetMvc-Version

在 Application_Start() 中添加如下代码：

protected void Application_Start() 
{ 
    MvcHandler.DisableMvcResponseHeader = true; 
}

4. 移除X-Powered-By

在IIS Manager的HTTP Response Headers中移除X-Powered-By：

响应头信息原始头信息

Cache-Control： private
Content-Length： 78457
Content-Type： text/HTML; charset=utf-8
Date： Fri, 25 Apr 2014 06:19:18 GMT
Server： Microsoft-IIS/7.5
X-AspNet-Version： 4.0.30319
X-Powered-By： ASP.NET

修改Server:

方法一：安装UrlScan（放这个是微软官方出的东西）,(注意系统是32位(x86),还是64位(x64))
下载地址：http://www.microsoft.com/en-us/search/DownloadResults.aspx?q=URLScan

修改 URLScan.ini 文件

URLScan 的所有配置都是通过 URLScan.ini 文件执行的，此文件位于 %WINDIR%\System32\Inetsrv\URLscan 文件夹中。要配置 URLScan，请在文本编辑器（如记事本）中打开此文件，进行相应的更改，然后保存此文件。

注意：要使更改生效，必须重新启动 Internet 信息服务 (IIS)。一种快速的实现方法是在命令提示符处运行 IISRESET。

把RemoveServerHeader=1 ; 若为1,则移除IIS的server标头。保存，打开页页就看不到Server这个请求头信息了

方法二：安装rewrite模块。
rewirte下载地址：
https://www.iis.net/downloads/microsoft/url-rewrite

修改配置文件（C:\Windows\System32\inetsrv\config\applicationHost.config）。

<rewrite>
            <allowedServerVariables>
                    <add name="REMOTE_ADDR" />
            </allowedServerVariables>            
            <outboundRules>
                    <rule name="REMOVE_RESPONSE_SERVER">
                        <match serverVariable="RESPONSE_SERVER" pattern=".*" />
                        <action type="Rewrite" />
                    </rule>
            </outboundRules>
    </rewrite>
修改X-AspNet-Version
在web.config的<system.web>结点下添加
修改X-Powered-By
打开IIS，点一个站点，再点HTTP响应标头.双击你要修改的如“X-Powered-By”双击，修改成你想要的数据,也可以直接删除。

【参考资料】

1、在ASP.Net和IIS中删除不必要的HTTP响应头 http://blog.chinaunix.net/uid-11898547-id-4078107.html

2、隐藏/屏蔽服务器信息与web软件版本信息-51CTO博客 http://blog.51cto.com/showerlee/1144285