ウェブサーバのセキュリティ Apache編

% curl --silent --dump-header /tmp/h http://`hostname` >/dev/null
% cat /tmp/h
HTTP/1.1 200 OK
Date: Sat, 01 Sep 2007 11:09:27 GMT
Server: Apache/2.2.3 (FreeBSD) mod_ssl/2.2.3 OpenSSL/0.9.7e-p1 DAV/2
Transfer-Encoding: chunked
Content-Type: text/html

ServerTokens Full

Apacheのバージョン情報を出さなくするには、httpd.confに下記の設定を追加します。

ServerTokens ProductOnly

設定を追加後に、Apacheを再起動します。

sudo apachectl restart

これにより、

Server: Apache

という情報だけにすることができました。

実際には、下記のようになりました。

% curl --silent --dump-header /tmp/h http://`hostname` >/dev/null
% cat /tmp/h
HTTP/1.1 200 OK
Date: Sat, 01 Sep 2007 11:25:32 GMT
Server: Apache
Last-Modified: Sat, 01 Sep 2007 03:17:20 GMT
ETag: "1ef30e-95dd-6099f000"
Accept-Ranges: bytes
Content-Length: 38365
Content-Type: text/html

Not Found

The requested URL /aaaaa was not found on this server.
−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−
Apache Server at foo.bar.jp Port 80

ServerSignature Off

Apacheを再起動する。

sudo apachectl restart