เซิร์ฟเวอร์ของฉันตอบกลับด้วยServer: Apache/2.2.15 (CentOS)คำขอทั้งหมด ฉันเดาว่านี่จะให้สถาปัตยกรรมเซิร์ฟเวอร์ของฉันซึ่งทำให้การแฮ็กพยายามง่ายขึ้น
สิ่งนี้มีประโยชน์กับเว็บเบราว์เซอร์หรือไม่? ฉันควรจะเก็บไว้หรือไม่
คำตอบ:
ในความคิดของฉันมันเป็นการดีที่สุดที่จะปกปิดสิ่งนี้ให้มากที่สุด มันเป็นหนึ่งในเครื่องมือที่คุณใช้ในการแฮ็คเว็บไซต์ - ค้นพบเทคโนโลยีของมันใช้ข้อบกพร่องที่เป็นที่รู้จักของเทคโนโลยีนั้น เหตุผลเดียวกันว่าทำไมการรักษาความปลอดภัยที่ดีที่สุดในขณะที่กลับเริ่มส่งเสริมให้มี URL ในรูปแบบ "/ ดู / หน้า" แทน "/view/page.jsp" หรือ "/view/page.asp" ... ดังนั้นเทคโนโลยีพื้นฐาน จะไม่ถูกเปิดเผย
มีการสนทนาเกี่ยวกับเรื่องนี้เช่น/programming/843917/why-does-the-server-http-header-existและhttp://www.troyhunt.com/2012/02/shhh- dont-let-your-response-headers.htmlและหนังสือแฮ็คที่เปิดเผยอย่างชัดเจน
นอกจากนี้ยังอยู่ในการรักษาความปลอดภัย SE /security/23256/what-is-the-http-server-response-header-field-used-for
แต่โปรดจำไว้ว่านี่ไม่ใช่จุดจบของการรักษาความปลอดภัยเซิร์ฟเวอร์ของคุณ อีกขั้นหนึ่งในทิศทางที่ถูกต้อง มันไม่ได้ป้องกันการแฮ็คใด ๆ มันทำให้มองเห็นได้น้อยลงเกี่ยวกับสิ่งที่แฮ็คควรทำ
คุณสามารถเปลี่ยนส่วนหัวของเซิร์ฟเวอร์ได้หากต้องการ แต่ไม่ต้องคำนึงถึงเรื่องนี้เพื่อความปลอดภัย การรักษาความทันสมัยเท่านั้นที่จะทำเช่นนั้นเนื่องจากผู้โจมตีสามารถเพิกเฉยส่วนหัวของเซิร์ฟเวอร์ของคุณและลองใช้ประโยชน์จากช่องโหว่ที่รู้จักกันตั้งแต่ต้น
RFC 2616 รัฐในส่วน:
ผู้พัฒนาเซิร์ฟเวอร์ได้รับการสนับสนุนให้ทำให้ฟิลด์นี้เป็นตัวเลือกที่กำหนดค่าได้
และ Apache ก็ทำตามServerTokensคำสั่ง คุณสามารถใช้สิ่งนี้หากคุณต้องการ แต่ไม่คิดว่ามันจะเป็นไปอย่างน่าอัศจรรย์ป้องกันคุณจากการถูกโจมตี
การแสดงสตริงทั้งหมดพร้อมข้อมูลเวอร์ชั่นอาจทำให้คุณมีความเสี่ยงเพิ่มขึ้นจากการโจมตี 0 วันหากผู้โจมตีได้จัดทำรายการเซิร์ฟเวอร์ที่ใช้งานซอฟต์แวร์ใด
อย่างที่กล่าวไปแล้วคุณไม่ควรคาดหวังว่าการซ่อนสายเซิร์ฟเวอร์จะป้องกันคุณจากการพยายามแฮ็ค มีวิธีการพิมพ์ลายนิ้วมือเซิร์ฟเวอร์ตามวิธีการรายงานการตอบสนองและข้อผิดพลาด
ฉันปิดการใช้งานสตริงของฉันเท่าที่ฉันสามารถ แต่ฉันไม่ได้กังวลเกี่ยวกับสิ่งที่ฉันไม่สามารถซ่อน (เช่น OpenSSH)