RSS Apache und PHP Versions aus HTTP Header entfernen

verfasst 14.04.2011 von MediaCix | kurze URL: /t1060 | 2 Kommentare

Standard-Servereinstellungen haben leider auch den Nachteil, dass diverse Angaben über die PHP- oder Apache-Version mit übertragen werden. Hacker oder Spider können diese Schwachstelle ausnutzen. Für den Browser sind diese Angaben jedoch weniger Sinnvoll. Wie kann man nun diese Informationen ausblenden? Wer einen Server sein Eigen nennt, hier eine Lösung:

Eine Typische Header-Information könnte zum Beispiel so aussehen:

HTTP/1.1 200 OK
Date: Thu, 14 Apr 2011 13:56:00 GMT
Server: Apache/2.2.8 (Linux/SUSE)
X-Powered-By: PHP/5.2.12
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Transfer-Encoding: chunked
Content-Type: text/html


Um nun die Apache-Version unsichtbar zu machen, genügt ein Eintrag in der http.conf:

ServerTokens Prod
ServerSignature Off


Durch die Angabe von X-Powered-By wird signalisiert, dass die aktuelle Seite eine dynamische Seite ist. Die Angabe von X-Powered-By kann komplett ausgeblendet werden. Hier muss nur ein Eintrag in der php.ini geändert werden:

expose_php = Off


Nach einen Server-Neustart sollte dann die HTTP-Headerinformation wie folgt aussehen:

HTTP/1.1 200 OK
Date: Thu, 14 Apr 2011 13:56:00 GMT
Server: Apache
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Transfer-Encoding: chunked
Content-Type: text/html

bisherige Kommentare

1
01.11.2011
eMmA meint dazu:
hallo leute!

anscheinend funktioniert der eintrag "expose_php = Off" leider nicht bei systemen mit plesk... denn es wird hier trotzdem immer "X-Powered-By: PleskLin" gesendet... irgendwie bekomme ich somit diesen eintrag nicht deaktiviert... :(

2
06.02.2012
Unbekannt meint dazu:
Hallo,

man kann es auch über die .htaccess wie folgt lössen.
<IfModule mod_headers.c>
Header unset X-Powered-By
Header add X-Powered-By "www.domain.de"
</IfModule>

Gruß Kay

neuen Kommentar schreiben

Ich möchte automatisch eine E-Mail bei neuen Kommentaren erhalten.



Themen mit ähnlichen Inhalten

    - keine weiteren Themen gefunden -

Tags zum Beitrag

X-Powered-By     HTTP-Header