如何關閉Apache的服務器簽名？

2014-10-10 宇易網絡 4490

只要網站服務器返回錯誤頁面，比如404、403等頁面，頁面底部就會出現網站服務器的簽名信息（比如Apache的版本號和操作系統的信息）。此外，打開任何php頁面，網站服務器會返回php的版本信息。顯示了網站服務器的版本信息和php的版本信息，相當于把自己服務器的信息告訴了攻擊者，這給網站的安全帶來了很大的隱患，所以泰州網站建設宇(yu)易網絡建議將服務器簽名信息(xi)關閉，這是服務器加固的一個措施。

帶有簽名

禁用(yong)Apache服(fu)務器簽名(ming)

只要編輯(ji)Apache配置(zhi)文件，就可以(yi)禁用Apache服務器簽名。

在Debian、Ubuntu、Linux Mint等(deng)系統下：

$ sudo vi /etc/apache2/apache2.conf

在CentOS、Fedora、RHEL或(huo)Arch Linux上：

$ sudo vi /etc/httpd/conf/httpd.conf

將下(xia)面這兩(liang)行添加到Apache配(pei)置文件的(de)末尾(wei)處：

ServerSignature Off
ServerTokens Prod

然后重(zhong)啟(qi)網站(zhan)服務器，以(yi)激(ji)活(huo)變(bian)更(geng)：

$ sudo service apache2 restart (Debian, Ubuntu or Linux Mint)
$ sudo service httpd restart (CentOS/RHEL 6)
$ sudo systemctl restart httpd.service (Fedora, CentOS/RHEL 7, Arch Linux)

沒有簽名

第一行“ServerSignature Off”讓Apache2網站(zhan)服務器隱藏任何出錯頁面(mian)上的Apache版本信息(xi)。

Curl顯示Apache版本信息

不過(guo)，要是沒有(you)第二行“ServerTokens Prod”，Apache服(fu)務器(qi)還是會(hui)將詳細的服(fu)務器(qi)令牌添加到HTTP響應頭，這會(hui)顯示Apache版本(ben)號。

Curl不顯示Apache版本信息

隱藏(zang)PHP版本

另一個(ge)潛在的安全威脅(xie)是(shi)HTTP響(xiang)應(ying)頭中泄露的PHP版(ban)本信息。默認情況下，Apache網站服務(wu)器(qi)通過HTTP響(xiang)應(ying)頭里面(mian)的“X- Powered-By”字(zi)段，添加PHP版(ban)本信息。如果你想隱藏HTTP響(xiang)應(ying)頭中的PHP版(ban)本，不妨用(yong)文本編輯工具打開(kai)php.ini文件，找到 “expose_php = On”，將其改成“expose_php = Off”。

帶有php的版本信息