Wersje oprogramowania w nagłówkach serwera

Nagłówki odpowiedzi publikujące dokładne wersje oprogramowania. Podpowiadają, które znane podatności wypróbować najpierw, a wyłączenie ich nic nie kosztuje.

• Pomoc

Wiele serwerów przedstawia się w nagłówkach odpowiedzi: Server: Apache/2.4.41 (Ubuntu), X-Powered-By: PHP/7.4.3. Dokładny numer wersji nic nie daje odwiedzającym, ale automatyczne narzędzia ataku czytają go jako pierwszy: wersja wskazuje wprost listę znanych podatności, a witrynę ze starą wersją wybiera się właśnie pod te exploity. Ukrycie wersji niczego nie naprawia, ale odbiera darmową podpowiedź i czyni cię mniej oczywistym celem.

Jak sprawdza to SiteScan

Skaner odczytuje cztery nagłówki strony głównej — Server, X-Powered-By, X-AspNet-Version i X-Generator — i oznacza te, które zawierają numer wersji. Sama nazwa produktu, np. Server: nginx, jest w porządku. Jeśli znaleziono wersję, wiersz wymienia wartości i jest żółty; w przeciwnym razie pokazuje „Brak”.

Jak je wyłączyć

• nginx: server_tokens off;
• Apache: ServerTokens Prod i ServerSignature Off
• PHP: expose_php = Off w php.ini
• ASP.NET: <httpRuntime enableVersionHeader="false" /> w web.config, a X-Powered-By usuń w IIS
• Znaczniki generator w CMS zwykle usuwa wtyczka lub ustawienie motywu.

Najważniejsze pozostaje jednak regularne aktualizowanie oprogramowania. Zobacz też grupę „Odsłonięte pliki”.