Маскируем небезопасные заголовки веб-сервера

В данной статье хочется немного поговорить о безопасности, ведь в немалом количестве UNIX-подобных операционных системах изначально можно узнавать огромное количество данные, узнав которые, злоумышленники смогут спланировать и создать атаку на ваш сервер.

Как пример я могу сказать, что использовав команду curl –I ip_adress, злоумышленник сможет узнать служебные данные о серверы, обо всех версиях и модулях, которые им используются.

Если такая информация попали в нехорошие руки, то есть огромное вероятность того, что будет совершена атака, например, для тестирования различных уязвимостей или вовсе для использования в своих целях.

Максировка Apache

Чтобы иметь возможность выполнения данного действия, в вашу систему нужно будет установить пакет libapache-mod-security, после чего вам нужно будет подключить модуль, команда для подключения:

# a2enmod mod-security

После этого нам нужно запустить файл /etc/apache2/conf.d/security, всю ненужную информацию мы комментируем, а между тем добавляем это:

ServerSignature Off

ServerTokens Full

SecServerSignature "httpd (OpenBSD)"

Как только вы это сделаете, вам нужно будет сделать ребут apache и узнать, не изменился ли заголовок вашего сервера:

# /etc/init.d/apache2 restart

...

$ curl -I localhost

HTTP/1.1 200 OK

Date: Fri, 19 Sep 2014 17:11:30 GMT

Server: httpd (OpenBSD)

X-Powered-By: PHP/5.3.28-1~dotdeb.0

Скрываем версию Nginx

Это тоже является немало важным, но чтобы это сделать нам необходимо создать файл /etc/nginx/conf.d/nginx.conf добавив в него данную строку кода:

server_tokens off;

После чего как и с apache мы его перезапускаем и проверяем работоспособность.

Скрываем версию PHP

Повторяем практически те же действия, запускаем файл /etc/php5/apache2/php.ini а в нем мы изменяем значение параметра expose_php на Off:

expose_php = Off

Опять перезапускаем инструмент и проверяем информацию о сервере:

# /etc/init.d/apache2 restart

...

$ curl -I localhost

HTTP/1.1 200 OK

Date: Fri, 19 Sep 2014 17:11:30 GMT

Server: httpd (OpenBSD)