Paranoid - курс от Codeby Security School

Представляем вашему вниманию курс от команды codeby - "Комплекс мер по защите персональных данных, анонимности в интернете и не только" Подробнее ...


Сокрытие версий Apache и PHP — это один из элементов в обеспечении безопасности веб-сервера. Знание версий этих программ может облегчить задачу злоумышленника по поиску известных для данной версии уязвимостей и, как следствие, в достижение основной цели — проникновению. Конечно, злоумышленник может просто перебирать все известные уязвимости для всех версий Apache и PHP, но эта активность может попасть в поле зрение mod_security, fail2ban или сисадмина. В результате чего IP, с которого ведётся атака, будет награждён баном. В любом случае, если мы спрячем версии, это никак не отразится на качестве работы нашего сервера (пользователи этого просто не заметят), а взломщикам это прибавит работы.

Давайте, для начала, посмотрим, какую информацию выдают наши сервера на разных операционных системах. Для этого попытаемся открыть страницу или каталог, которых не существуют:

Первый скриншот — это Windows с Apache 2.4:

01

Очень неплохо, нет ни версии сервера, ни данных об ОС.

Это Linux Mint (Ubuntu) c Apache 2.4:

02

Нам с потрохами выдана и версия Apache и даже ОС, под которой он работает.

Это, как все уже, наверное, догадались, Linux Debian c Apache 2.2:

14902970545_c3d406322f_o

Опять нам вывалена вся информация.

Но вернёмся к Windows. Неужели там всё так хорошо? Совсем нет, Apache всё равно добавляет детальную информацию в HTTP заголовки ответа, которые соответствуют номеру версии Apache.

03

Видите? Нам раскрыта не только информация об Apache и PHP, но и об ОС, её битности.

И сразу, чтобы два раза не встовать, проверим наши Линуксы:

04

14902970535_e4465c7b06_o

Аналогичная ситуация.

Чтобы скрыть эти данные , нужно в конфигурационный файл Апача добавить две строчки.

На Windows это файл лежит в каталоге confhttpd.conf с установленным Apache. Те, кто ставили сервер по моей инструкции, найдут этот файл здесь:


Codeby Security School от Сodeby

Мы запустили свою онлайн школу по информационной безопасности. Защита персональных данных, анонимность в сети интернет, настройка виртуальных машин, безопасная передача данных, анти форензика и еще много всего полезного в курсе Paranoid


C:ServerbinApache24confhttpd.conf

Откройте его любым текстовым редактором и добавьте туда две строчки:

Сохраните файл и перезапустите сервер. Делаем проверку:

05

Отлично, больше информация о версии не выводится.

На Линуксах всё точно также, только там файл настроек лежит в разных местах.

На Debian, Ubuntu или Linux Mint:

На CentOS, Fedora, RHEL или Arch Linux:

И добавляем следующие две строчки

Перезапускаем вебсервер, чтобы изменения вступили в силу:

 

Можем убедиться вместе, теперь всё отлично:

06

14902970505_196b6e8ee3_o

Прячем версию PHP

Другая потенциальная угроза безопасности — это утечка версии PHP в ответе заголовков HTTP. По-умолчанию, веб-сервер Apache включает версию PHP в "X-Powered-By" ответа HTTP заголовка.

07

14899917981_3f4d5676f7_o

Если вы хотите спрятать версию PHP в HTTP заголовке, откройте файл php.ini текстовым редактором, найдите там "expose_php = On" и замените её на "expose_php = Off".

На Windows

У тех, кто ставил сервер по моей инструкции, этот файл находится здесь: C:ServerbinPHPphp.ini

Откройте его текстовым редактором и, как уже было сказано, найдите "expose_php = On" и замените её на "expose_php = Off".

Перезапустим сервер и проверим:

08

Желаемый результат достигнут! Возвращаемся к нашим Линуксам.

На Debian, Ubuntu или Linux Mint:

На CentOS, Fedora, RHEL или Arch Linux:

Наконец, перезапускаем веб-сервер Apache2 для перезагрузки файла настроек PHP.

Больше вы не увидите поле "X-Powered-By" в HTTP заголовках ответа.         


Безопасная сделка с гарантом Сodeby

Гарант является доверенным посредником между Участниками при проведении сделки.​ Услуга сайта «Проведение сделок через Гаранта» предоставляется всем зарегистрированным пользователям codeby.net Подробнее ...


Похожие темы

Как установить ModSecurity (mod_security) на Apach... Два нуля Фоторобот со спины Идём Что земля Мне шесть футов глубины Со льдом (Секвойя & ОКовцур - "Хамелеон") ...
Как переименовать LXD / LXC контейнер... Как переименовать LXD-управляемый контейнер LXC в операционной системе Linux? Вы можете перемещать или переименовывать контейнеры внутри или между эк...
ExifTool — независимый от платформы редактор... Независимый от платформы редактор метаданных: ExifTool ExifTool является независимой от платформы Perl-библиотекой, а также приложением командной с...
Рассмотрим установку и работу OnionShare под Linux... Сегодня решил познакомить читателей с очередным замечательным инструментом. Есть версии для недооси и мака, но рассмотрим его установку и работу ТО...
Отслеживание FREAK атаки Я как то упустил из виду событие, произошедшее в 2015 году. После прочтения этого обзора, появилось желание поделиться с общественностью. Кто подвер...