隐藏/屏蔽服务器信息与web软件版本信息

俗话说的好，不怕贼偷，就怕贼惦记着啊！这名话用到服务器上很适合啊。对于黑客来说，入侵第一步，一般都是先扫描，这些扫描包括服务器的类型，提供服务的软件及版本号，然后针对这些系统或软件的相应漏洞进行入侵。那么如何来隐藏这些信息呢？这就是今天的技术内容。

1、隐藏服务器系统信息

在缺省情况下，当你登陆到linux系统，它会告诉你该linux发行版的名称、版本、内核版本、服务器的名称。为了不让这些默认的信息泄露出来，我们要进行下面的操作，让它只显示一个"login:"提示符。
删除/etc/issue和/etc/issue.net这两个文件。
本地登陆输入用户名和密码前显示的信息写在/etc/issue，当然，在这个文件你也可以写入其他的信息。
而/etc/issue.net是供telnet这个远端登入显示的信息，默认里面内容与/etc/issue是一样的。不过，这个现在好像没有什么人在用吧！
下面我就简单的了解一下issue文件中的一些代码含义

\d 本地端时间的日期；
\l 显示第几个终端机介面；
\m 显示硬体的等级 (i386/i486/i586/i686...)；
\n 显示主机的网路名称；
\o 显示 domain name；
\r 作业系统的版本 (相当于 uname -r)
\t 显示本地端时间的时间；
\s 作业系统的名称；
\v 作业系统的版本。

在这里顺便说一下，登陆系统后显示的信息修改方法（PS：如果系统真到了这一步，那已经说明成为了别人的肉机了啊！）。

登陆系统后的信息是写在/etc/motd文件中，默认是空的，你可以在这里面写你想显示的信息。

2、常用的服务软件版本信息屏蔽

上面讲了如何把服务器的信息屏蔽，那么我在服务器上提供服务的软件版本信息如何隐藏呢？下面介绍目前几个常用的服务软件版本信息屏蔽。

先来介绍一个命令。

curl --head http://localhost

查看服务器提供HTTP服务的相关信息
这里会显示你的HTTP是什么程序，哪个版本如
Server: nginx/0.8.36
还有PHP的相关信息
X-Powered-By: PHP/5.2.14
下面就是如何来隐藏这些信息了

隐藏apache版本信息:

开启 httpd.conf，加入以下两行:
ServerTokens ProductOnly
ServerSignature Off

隐藏Nginx版本信息:

开启 nginx.conf，在http { }里加上：
server_tokens off;

隐藏php-fpm版本信息：

开启php-fpm配置文件【fastcgi_params，fastcgi.conf】找到：
fastcgi_param SERVER_SOFTWARE nginx/$nginx_version;
改为：
fastcgi_param SERVER_SOFTWARE nginx0.0.0; #(这个nginx0.0.0就是显示的内容)
隐藏PHP版本信息：

开启php.ini，加入:
expose_php = Off

完成以上设定后，重新启动 Apache/Nginx 即可。