当ServerSignature关闭时，可以找到Apache HTTPD的版本吗？

Question

我有一个问题。禁用完全签名时，我可以找到Apache的版本吗？它甚至可能吗？如果是的话，怎么样？我认为这是可能的，因为黑客攻击大型企业服务器，而对受害者服务版本的了解至关重要。你怎么看？感谢。

Answer 1

一开始，有两个（甚至三个）要隐藏的东西：

1. ServerHeader - 显示服务器响应字段中的版本。这不能在Apache配置中转换，但可以简化为＃34; Apache＆＃34;。
2. ServerSignature - 在错误页面的页脚中显示服务器版本。
3. X-Powered-By不是由Apache使用，而是由后端服务器和服务使用，它可能会向（例如PHP，J2EE服务器等）发送请求。

现在服务器确实显示了一些信息，因为操作方式或规范如何解释。例如，响应标头的顺序，大小写，它们如何响应某些请求都可以提供有关使用哪个服务器软件might来回答http请求的线索。然而，使用它来指纹该软件的特定版本更加棘手，除非客户端有明显的，可观察到的变化。

其他选项包括查看服务器状态页面 - 尽管您希望任何管理员足够聪明以减少默认服务器标头也会限制对服务器状态页面的访问。或者通过另一个安全漏洞（例如，能够上载加载可执行脚本等）。

我猜大多数黑客会更多地了解某些版本的Apache或其他网络服务器中的漏洞和攻击，并试着看看是否有任何漏洞可以被利用而不是先尝试猜测特定版本。

事实上，作为一个有趣的方面，Apache本身长期以来一直认为隐藏服务器头信息是毫无意义的＆＃34;安全性通过默默无闻＆＃34; （我和其他许多人不同意他们的意见）even putting this in their documention:

  

建议不要将ServerTokens设置为小于最小值，因为   这使得调试互操作问题变得更加困难。也   请注意，禁用Server：标头根本不执行任何操作   您的服务器更安全。通过默默无闻的安全理念＆＃34;是一个   神话并导致虚假的安全感。

甚至允许开放访问their server-status page。