웹 서버 버전 노출 방지

안녕하세요~~ 저희는 공공의 적 팀입니다~~<(*^.^*)/

---

운영하는 서버의 자세한 정보는 공격자에게 유용한 정보를 제공합니다.

웹 서버는 특히 노출되기 쉬운 정보가 많습니다.

 

다음은 웹에서 확인되는 서버의 버전 정보입니다.

 

 

노출된 Apache 버전 정보!!

 

Server 헤더를 보면 현재 사용하는 서버 제품(Apache)과 버전(2.4.52), 모듈(mod_ssl, mod_jk ..)과 버전등 굉장히 상세한 정보를 보여주고 있으며 공격자는 해당 제품과 버전의 취약점을 찾아서 공격할 수 있습니다.

 

Server Token Off

apache 는 httpd.conf 에 다음과 같이 설정하면 표시 정보를 최소화할 수 있습니다.

vim httpd.conf
    ServerSignature OFF  #옵션이 없으면 추가
    ServerTokens Prod  #옵션이 없으면 추가

 

nginx 는 nginx.conf 의 http 항목에 다음 내용을 추가합니다.

vim nginx.conf
    http {
        server_tokens off;

 

X Powered By 헤더 제거

 

X-Powered-By 헤더는 서버 사이드에서 사용하는 기술(ASP.NET, PHP, JBoss 등)을 표시하는 비표준 헤더로 공격자에게 유용한 정보를 제공하므로 숨기는게 좋습니다.

 

apache 의 경우 Header 지시자를 사용하면 브라우저로 전송하기 전에 모든 X-Powered-By 헤더를 삭제할 수 있습니다.

vim httpd.conf
    Header unset X-Powered-By

 

nginx 는 fastcgi_hide_header 모듈을 사용하여 숨길 헤더를 지정하면 됩니다.

vim nginx.conf
    http {
        fastcgi_hide_header X-Powered-By;

 

 

작업이 완료되면 다음 그림과 같이 서버 정보가 삭제된 것을 확인 할 수 있습니다.

 

더이상 아파치 버전 정보가 뜨지 않습니다.

 

---

감사합니다!!