Wykrywanie serwera WWW

Oprogramowanie serwera, które odpowiedziało — tak, jak nazywa się w swoich nagłówkach.

• Pomoc

Serwer WWW to oprogramowanie, które przyjęło połączenie i odesłało odpowiedź: nginx, Apache HTTP Server, LiteSpeed, Microsoft IIS, Caddy albo sieć brzegowa w rodzaju Cloudflare czy Amazon CloudFront, stojąca przed właściwą maszyną.

Jak SiteScan go rozpoznaje

Wiersz czyta nagłówek odpowiedzi Server strony startowej i dopasowuje go do znanego produktu, więc Apache/2.4.62 (Debian) staje się „Apache HTTP Server 2.4.62”. Gdy nagłówka brak albo został nadpisany, zapasowo służą nagłówki wysyłane tylko przez jedną rodzinę serwerów: cf-ray przez Cloudflare, x-litespeed-cache przez LiteSpeed, x-aspnet-version przez IIS. Wersja jest pokazywana tylko wtedy, gdy serwer sam ją podał — nic nie jest zgadywane. Jeśli odpowiada CDN, widać jego nazwę, a nie serwer za nim.

Wiersz ma charakter informacyjny: zielony, gdy nazwę znaleziono, szary, gdy serwer milczy.

Czy warto go ukrywać?

Sama nazwa produktu niewiele szkodzi, ale dokładna wersja podpowiada atakującemu, które znane luki wypróbować. Nazwę można zostawić, a wersję usunąć: server_tokens off; w nginx, ServerTokens Prod razem z ServerSignature Off w Apache oraz expose_php = Off przeciw X-Powered-By. Przede wszystkim jednak trzeba aktualizować oprogramowanie — ukryta wersja nie zastąpi łatek. Zobacz baner serwera.