主页 / server / 问题 / 105714
Accepted
Rook
Asked: 2010-01-24 14:25:01 +0800 CST

你怎么能掩盖你正在运行 Apache 的事实呢？

  • 772

我怎样才能让它看起来好像我没有运行 Apache？我认为最好的方法是让它看起来像是另一种类型的 httpd，比如 lighthttpd 或 iis。我知道通过使用 mod_security 您可以将服务器签名更改为任何内容：

SecServerSignature "Microsoft IIS"

有谁知道隐藏正在使用的 HTTPD 的其他技巧？

apache-2.2 security httpd

4 个回答

  1. Best Answer

    你为什么要尝试这个？

    apache httpd 有很多明显和不明显的方式来展示自己。把时间花在真正的安全上。版本标识符、库存页面、HTTP 标头和加载的模块只是 Apache httpd 展示自己的一些方式。

    运行 apache 并尽可能加载一些模块。将日志发送到另一台主机并进行实时日志分析。

    设计您的系统，以便 apache 的妥协不会导致直接访问您要保护的任何内容。

    • 7

  2. 有2种方式。最简单的方法是将其添加到您的 apache 配置文件中：

    ServerSignature Off
ServerTokens Prod

    另一种是更改apache源中的这个文件/src/include/httpd.h。改变 ：

    #define SERVER_BASEVENDOR “Apache Group”
#define SERVER_BASEPRODUCT “Apache”
#define SERVER_BASEREVISION “”

    至

    define SERVER_BASEVENDOR: Microsoft
define SERVER_BASEPRODUCT: Microsoft-IIS
define SERVER_BASEREVISION: 5.0

    然后重新编译apache。

    其他解决方案可能会退出，请在 google 上尝试“Apache Banner faking”。

    • 5

  3. 从库存错误页面（404、500 等）的样式和内容可以看出 Apache 正在运行。指定你自己的。

    • 2

  4. 正如霍尔斯特所说，你真的应该质疑你为什么要掩盖你的主人。模糊性是一种安全机制，但应该被认为是最弱的，因此只需要在更健壮的安全架构中成为一层。

    我强烈建议您查看Apache 的 CIS Benchmark并实施可以在您的环境中使用的任何内容。与 NIST 一起，互联网安全中心基准测试通常用作标准配置的基础。这很棒，因为 Nessus 的 Professional Feed 包含用于与 CIS 基准进行比较的审计文件。此外，这使您走上了易于审核的标准配置的道路，并大大降低了与尝试充分管理大量不同系统相关的风险。

    回到最初的问题，CIS Apache Benchmark v2.2 推荐的信息泄漏保护设置如下

    ServerTokens Prod
ServerSignature Off
    • 2

相关问题