Início / server / Perguntas / 214242
Accepted
orokusaki
Asked: 2010-12-20 13:00:00 +0800 CST

Posso ocultar todas as informações do servidor / sistema operacional?

  • 772

Não quero que ninguém detecte que estou usando NGINX ou mesmo Ubuntu pela internet. Existem ferramentas por aí (como BuiltWith) que verificam os servidores para detectar quais ferramentas eles estão usando. Além disso, algumas ferramentas de cracking podem ajudar na detecção. Qual é o melhor / mais próximo disso que posso esconder todas essas informações do lado de fora?

ubuntu nginx

12 respostas

  1. Best Answer

    Você pode parar a saída da versão do Nginx e do SO adicionando

    server_tokens off;

    para um http, server, ou locationcontexto.

    Ou se você deseja remover completamente o cabeçalho do servidor, você precisa compilar o Nginx com o módulo Headers More, pois o cabeçalho é codificado na fonte do Nginx e este módulo permite alterar qualquer cabeçalho http.

     more_clear_headers Server;

    No entanto, existem muitas maneiras ocultas de desempenho acidental dos servidores por meio de sua implementação, o que pode ajudar a identificar o sistema. por exemplo, como ele responde a uma solicitação SSL incorreta. Não vejo uma maneira prática de evitar isso.

    Algumas das coisas que posso sugerir:

    • alterar modelos de erro
    • bloquear todas as portas, exceto os serviços necessários
    • 160

  2. Se você instalou o nginx usando o apt-get no Debian ou Ubuntu, pode ser necessário instalar o pacote nginx-extras para definir ou limpar o cabeçalho "Servidor"

    Feito isso, você pode adicionar as linhas abaixo no nginx.conf (geralmente /etc/nginx/nginx.conf):

    Para limpar completamente o cabeçalho "Servidor":

    more_clear_headers Server;

    Para definir uma string personalizada como "Servidor"

    more_set_headers 'Server: some-string-here';
    • 51

  3. @Martin F. Sim, ele faz. Você terá que compilá-lo a partir do código-fonte e alterar o que for necessário antes de compilar o código-fonte.

    Suponho que você baixou a última versão estável que você descompactou e sabe onde estão os arquivos. Se for esse o caso, faça o seguinte:

    nano src/http/ngx_http_header_filter_module.c

    Em seguida, procure a linha 48 se bem me lembro.

    static char ngx_http_server_string[] = "Server: nginx" CRLF;

    Substitua nginx por MyWhateverServerNameIWant, por exemplo

    static char ngx_http_server_string[] = "Server: MyWhateverServerNameIWant" CRLF;

    Então

    nano src/core/nginx.h

    procure a linha

    #define NGINX_VER          "nginx/" NGINX_VERSION

    altere "nginx/" para "MyWhateverServerNameIWant/" para que ele leia

    #define NGINX_VER          "MyWhateverServerNameIWant" NGINX_VERSION

    Finalmente, se você quiser também alterar o número da versão

    procure a linha #define NGINX_VERSION "1.0.4"

    e altere "1.0.4" para a versão desejada. Por exemplo, ele vai ler

    #define NGINX_VERSION      "5.5.5"

    Espero que ajude. No entanto. Proteger um servidor vai muito além de não mostrar o que está sendo executado. O PHP é inseguro por natureza, assim como o Linux. Claro que o linux pode ser bastante seguro se todas as medidas necessárias forem tomadas para alcançar uma segurança decente. No que diz respeito ao PHP, eu recomendaria usar o Suoshin para ajudar a fortalecer a segurança do seu código.

    • 22

  4. 1) Instale o nginx-extraspacote ao lado de nginx:

    apt install nginx-extras

    2) Abra nginx.confe adicione as seguintes linhas dentro httpdo bloco:

    more_clear_headers Server;
server_tokens off;

    remover o cabeçalho do servidor nginx

    3) Reinicienginx

    • 9

  5. Depois de muito tempo trabalhando como fazer um sabor personalizado do nginx no Ubuntu, percebi que você pode usar o módulo lua para isso.

    No Ubuntu 14.04, se você instalar o nginx-extraspacote, poderá remover o cabeçalho do servidor usando:

    header_filter_by_lua 'ngx.header["server"] = nil';

    Jogue isso no bloco http e cada solicitação não terá um Servercabeçalho.

    Se não funcionar, execute nginx -Vpara verificar se você tem o módulo lua compilado em sua cópia do nginx. Caso contrário, provavelmente existe um pacote alternativo que você pode usar para obtê-lo.

    • 7

  6. Em vez da header_filter_by_lua é recomendado usar a nova diretiva header_filter_by_lua_block que inline a fonte Lua diretamente entre chaves ( {}). Com isso não é necessário escapar caracteres especiais.

    header_filter_by_lua_block { ngx.header["server"] = nil }

    https://github.com/openresty/lua-nginx-module#header_filter_by_lua_block

    • 7

  7. Só quero salientar que mesmo que o cabeçalho do servidor seja removido da resposta, o nome do servidor (nginx ou openresty, por exemplo) ainda é claramente visível na resposta de erro html que o servidor envia em caso de erro.

    Qualquer pessoa pode facilmente obter esta resposta enviando, por exemplo, um cabeçalho muito longo. O Nginx retornará um 400 Bad Request, que não contém um cabeçalho de servidor (se corrigido), mas o próprio html o mostrará:

    Erro Nginx

    PS Eu não sei como me livrar deste também, realmente o próprio html o entregará, então deve haver uma maneira talvez de não gerar isso?

    • 5

  8. Em primeiro lugar: Por que usar um módulo extra como Headers More Nginx? Apenas para ocultar o cabeçalho do servidor. Se algumas linhas, um simples patch pode chegar à mesma solução para você.

    Como o uso de um módulo extra pode resultar em instabilidade (o quão bem ele foi testado com seu ambiente? Com ​​seus outros módulos etc.) ou insegurança (este módulo é atualizado regularmente com correções relacionadas a bugs e/ou segurança?)

    Em segundo lugar. Este tópico descreve como resposta 279389 como você pode ajustar o código Nginx para alterar o cabeçalho do servidor. O problema é que eles esqueceram o HTTP/2. Resumindo, nada vai mudar. O cabeçalho do servidor ainda estará visível.

    Menos é mais é melhor. Ok, admito, também estou procurando uma boa solução há muito tempo. Mas finalmente encontrei:

    Patch de remoção do cabeçalho do servidor Nginx

    Estou finalmente redimido daquele cabeçalho irritante do servidor Nginx.

    • 1

  9. Execute esta função bash na pasta de código-fonte nginx. Em nginx-$version, não em src/.

    Com base nesta resposta .

    hidengxver () {
read -r -p "Your own http_server_string for safety: " http_server_string
first_string="static char ngx_http_server_string\[\] = \"Server: nginx\" CRLF;"
second_string="static char ngx_http_server_string\[\] = \"$http_server_string\" CRLF;"
sed -ire "s/$first_string/$second_string/g" src/http/ngx_http_header_filter_module.c

read -r -p "Your own NGINX_VER const: " nginx_ver
third_string="\#define NGINX\_VER          \"nginx\/\" NGINX\_VERSION"
forth_string="\#define NGINX\_VER          \"$nginx_ver\" NGINX\_VERSION"
sed -ire "s/$third_string/$forth_string/g" src/core/nginx.h

real_nginx_version=$( grep '#define NGINX_VERSION' src/core/nginx.h | gawk -F'"' '{print $2}' )
read -r -p "Your own NGINX_VERSION const: " new_nginx_version
fifth_string="\#define NGINX\_VERSION      \"$real_nginx_version\""
sixth_string="\#define NGINX\_VERSION      \"$new_nginx_version\""
sed -ire "s/$fifth_string/$sixth_string/g" src/core/nginx.h
}
    • 0

  10. Use os métodos abaixo na fonte; para eliminar a string nginx das mensagens de erro

    sed -i 's@"nginx/"@"-/"@g' src/core/nginx.h
sed -i 's@r->headers_out.server == NULL@0@g' src/http/ngx_http_header_filter_module.c
sed -i 's@r->headers_out.server == NULL@0@g' src/http/v2/ngx_http_v2_filter_module.c
sed -i 's@<hr><center>nginx</center>@@g' src/http/ngx_http_special_response.c

    então recompile

    • 0

relate perguntas