是否有任何理由将“服务器”响应标头保留在Apache中

我的服务器响应Server: Apache/2.2.15 (CentOS)所有请求。我想这将使我的服务器体系结构变得更容易破解。

这对网络浏览器有用吗？我应该继续吗？

apache-2.2 http-headers

显然，我也在使用yum-cron来更新服务器！

— Nic Cottrell 2014年

Answers:

我认为，最好尽量掩盖这一点。它是用于黑客入侵网站的工具之一-发现其技术，利用该技术的已知缺陷。安全最佳实践在不久前就开始推广以“ / view / page”而不是“ /view/page.jsp”或“ /view/page.asp”形式出现的相同原因...因此，基础技术不会被暴露。

但是请记住，这并不是保护服务器安全的全部。朝正确方向又迈出了一步。它不会阻止任何黑客攻击。它只是使应该执行何种黑客操作的可见性降低。

— ETL
source

删除URL中的文件扩展名与安全无关...对于人类而言，它更具可读性。揭示应用程序平台的其他方法有千种。

— 布拉德

如果服务器配置正确，那么向想要成为攻击者的平台泄露信息将无济于事。

— 克苏鲁2014年

您可以根据需要更改Server标头，但不要为了安全而依赖此标头。只有保持最新状态才能做到这一点，因为攻击者可以忽略您的Server标头并从一开始就尝试所有已知的利用。

RFC 2616部分规定：

鼓励服务器实现者将此字段设置为可配置选项。

而Apache则使用该ServerTokens指令。您可以根据需要使用它，但是再次，不要以为它会神奇地阻止您受到攻击。

— 迈克尔·汉普顿
source

+1我的日志充满了针对未安装软件的“攻击”。黑客只是将他们拥有的所有东西扔出去，然后看看有什么问题。如果有任何实用程序可以更改ServerTokens，则最多可以忽略不计。

— 克里斯S

@ChrisS确实。我什至不打扰；我改用最新的Web服务器。

— 迈克尔·汉普顿

我有点不同意。尽管它可能很小，但是安全性永远不够强，并且必须执行任何能够带来帮助而又不会带来缺陷或降低性能的事情。

— mveroone 2014年

为什么要提供志愿者版本信息？我总是设置“ ServerSignature Off”和“ ServerTokens Prod”。还同意保持Web服务器最新是唯一的真正保护。如果您不删除版本信息并提交第三方渗透测试，则请确保将其标记为“信息泄漏”。

— HTTP500 2014年

@ HTTP500我定期处理PCI-DSS的合规性。如果您已修补，这是一个完整的非问题。当它泄漏有关系统其他部分的信息（即我可以告诉OP正在运行CentOS 5.x）或您没有及时更新时，就会成为问题。

— 迈克尔·汉普顿

如果攻击者一直在列出哪些服务器运行哪些软件，则显示带有完整版本信息的完整字符串以及版本信息，可能使您遭受0day攻击的风险增加。

话虽如此，您不应期望隐藏服务器字符串会保护您免受黑客攻击。有多种方法可以根据报告响应和错误的方式对服务器进行指纹识别。

我会尽可能地禁用我的字符串，但是我不会为那些我无法隐藏的字符串（例如OpenSSH）大汗淋漓。

— 担
source