是否有任何理由在 Apache 中保留“服务器”响应标头

Question

我的服务器响应Server: Apache/2.2.15 (CentOS)所有请求。我猜这放弃了我的服务器架构，使黑客尝试变得更容易。

这对网络浏览器有用吗？我应该坚持下去吗？

Answer 1

如果需要，您可以更改服务器标头，但不要指望安全性。只有保持最新才能做到这一点，因为攻击者可以忽略您的服务器标头并从一开始就尝试所有已知的漏洞利用。

RFC 2616 部分规定：

鼓励服务器实现者将此字段设为可配置选项。

Apache 做到了，使用了ServerTokens指令。如果你愿意，你可以使用它，但同样，不要认为它会神奇地防止你受到攻击。

+1 我的日志中充满了针对未安装软件的“攻击”。黑客只是扔掉他们所拥有的一切，看看什么能坚持下来。如果有任何更改 ServerTokens 的实用程序，它最多可以忽略不计。 (4认同)
我有点不同意。虽然它可能是次要的，但安全永远不够强大，任何可以提供帮助而不带来缺陷或降低性能的东西都必须得到执行。 (3认同)
为什么要提供志愿版本信息？我总是设置“ServerSignature Off”和“ServerTokens Prod”。也同意让您的网络服务器保持最新是唯一真正的保护。如果您不删除版本信息并提交给第三方渗透测试，他们肯定会将其标记为“信息泄漏”。 (2认同)

Answer 2

在我看来，最好尽可能地掩盖这一点。它是您用来入侵网站的工具之一 - 发现其技术，利用该技术的已知缺陷。安全最佳实践不久前开始推广使用“/view/page”形式的网址而不是“/view/page.jsp”或“/view/page.asp”形式的相同原因......所以底层技术不会暴露。

但请记住，这并不是保护服务器的最终目的。只是朝着正确方向再迈出一步。它不会阻止执行任何黑客攻击。它只是让人们不太清楚应该执行什么黑客攻击。