Geschrieben am von & gespeichert unter Archivierte Beiträge.

Viele Webserver im Internet verraten viel zu viel über sich selbst, von der Webserver Software Version (Apache, Tomcat oder IIS) über die PHP Version bis hin zu geladen Modulen. Das ganze sendet der Webserver über die HTTP Header

Über Mac OS X oder Linux kann man im Terminal über den Befehl curl -I den Header anschauen

curl -I http://www.google.de

Schaut man sich den Header von Google an wird man nicht viel sehen… die Admins machen ihren Job gut :)

Ganz anders sieht es z.B. bei Golem.de aus:
curl -I http://golem.de
HTTP/1.1 200 OK
Date: Thu, 16 Aug 2007 20:13:52 GMT
Server: Apache/2.0.54 (Debian GNU/Linux) mod_ssl/2.0.54 OpenSSL/0.9.7e PHP/4.4.6
X-Powered-By: PHP/4.4.6
Connection: close
Content-Type: text/html

Man sieht: Golem setzt noch die PHP Version 4.4.6 ein obwohl es schon die Version 4.4.7 gibt, ein kurzer blick in die PHP 4.4.7 release notes verät mir nun was alles gefixt worden ist. Noch schlimmer ist jedoch das der Apache mit der Version 2.0.54 läuft obwohl es schon die 2.0.59 gibt ein blick in die Apache 2.0 relase notes verät einige schwaschtellen.

Dies ist macht es natürlich Hackern sehr einfach nach Sicherheitlücken zu suchen. Man stelle sich vor das ein Hacker über den HTTP Header sieht das der Webserver oder PHP in einer sehr alten Version läuft und diverse Patche fehlen… Der Hacker weiß dann genau wo er anfangen kann!

Deshalb sollte man am besten den Server zum Schweigen bringen.

Den Apache kann man so zum Schweigen Bringen:
in der apache.conf den Eintrag:
ServerTokens Prod
Hinzufügen bzw. ändern, jetzt verrät der Apache nicht mehr seine Version, im HTTP Header steht dann nur noch Apache

PHP Bringt man so zum Schweigen
In der php.ini den Eintrag:
expose_php = Off
hinzufügen bzw. ändern. Jetzt ist auch PHP nicht mehr so gesprächig.

Mit nur wenig Arbeit verrät der Webserver nicht mehr so viel über sich, und schaden tut es auf keinen Fall

4 Antworten auf “Webserver zum schweigen bringen”

  1. Sysop

    Hehe… doppelt hält besser :) Wie gut zu wisen das es noch einen adminblog gibt… wird gleich mal in den Blogroll aufgenommen

  2. Sysop

    Ach man, das Theme für meinen Blog ist doch zum Kotzen. die komentare werden nich besonders gut dargestellt… werd mich mal bei Gelegenheit drum kümmern.

  3. Sysop

    So, jetzt ist es mal auf die schnelle gefixt, Kommentare werden jetzt wenigstens leserlich dargestellt. Am Design muss noch gearbeitet werden

Trackbacks/Pingbacks

  1.  Ach wie gut, dass niemand weiß, dass ich lighttpd heiß | adminlife.net
  2.  /home/zero

Schreiben Sie eine Antwort

  • (wird nicht veröffentlicht)