阿里云-云小站(无限量代金券发放中)
【腾讯云】云服务器、云数据库、COS、CDN、短信等热卖云产品特惠抢购

Nginx安全优化之隐藏版本号

197次阅读
没有评论

共计 2916 个字符,预计需要花费 8 分钟才能阅读完成。

安全一直是互联网不可忽视的问题,今天介绍下 Nginx 隐藏版本信息,别人不清楚你的版本,就无法使用针对 Nginx 的漏洞进行攻击。Nginx 软件是开源的但是源码中也携带版本信息,可以修改源代码进行隐藏版本信息。

版本显示

[root@linuxidc ~]# curl -I 192.168.1.7|grep Server            

Server: nginx/1.8.1 #nginx 的软件版本信息

51CTO 的 web 容器版本

[root@linuxidc nginx-1.8.1]# curl -I www.51cto.com|grep Server

Server: Tengine   # 隐藏了版本信息

隐藏了版本,让版本漏洞无法使用

修改 nginx 源代码来隐藏 nginx 版本信息

文件 1 “nginx-1.8.1/src/core/nginx.h” 12 行 -23 行

原配置文件

[root@linuxidc tools]# sed -n ‘12,23p’ nginx-1.8.1/src/core/nginx.h  

#define nginx_version      1008001

#define NGINX_VERSION      “1.8.1”  # 修改想要显示的版本如:2.2.23

#define NGINX_VER          “nginx/” NGINX_VERSION 

                          # 将 nginx 修改成想要显示的软件名称

#ifdef NGX_BUILD

#define NGINX_VER_BUILD    NGINX_VER ” (” NGX_BUILD “)”

#else

#define NGINX_VER_BUILD    NGINX_VER

#endif

#define NGINX_VAR          “NGINX” # 将 nginx 修改成想要显示的软件名称(Evan Web Server)

#define NGX_OLDPID_EXT     “.oldbin”

修改后

[root@linuxidc tools]# sed -n ‘12,23p’ nginx-1.8.1/src/core/nginx.h

#define nginx_version      1008001

#define NGINX_VERSION      “2.2.23” # 版本修改为 2.2.23

#define NGINX_VER          “EWS/” NGINX_VERSION

#nginx 修改为 EWS

#ifdef NGX_BUILD

#define NGINX_VER_BUILD    NGINX_VER ” (” NGX_BUILD “)”

#else

#define NGINX_VER_BUILD    NGINX_VER

#endif

#define NGINX_VAR          “EWS” #nginx 修改为 EWS

#define NGX_OLDPID_EXT     “.oldbin” 

文件 2 “nginx-1.8.1/src/http/ngx_http_header_filter_module.c” 49 行

源文件

[root@linuxidc tools]# sed -n ’49p’ nginx-1.8.1/src/http/ngx_http_header_filter_module.c 

static char ngx_http_server_string[] = “Server: nginx” CRLF;  # 将 nginx 修改为想要的版本

修改后

[root@linuxidc tools]# sed -n ’49p’ nginx-1.8.1/src/http/ngx_http_header_filter_module.c 

static char ngx_http_server_string[] = “Server: EWS” CRLF;   # 将 nginx 修改为了 EWS

修改链接错误的版本显示

错误链接网站显示

Nginx 安全优化之隐藏版本号

访问错误的链接也有暴露版本信息的危险

文件 3 “nginx-1.8.1/src/http/ngx_http_special_response.c” 29 行

源文件

[root@linuxidc tools]# sed -n ‘21,31p’ nginx-1.8.1/src/http/ngx_http_special_response.c

“<hr><center>nginx</center>” CRLF  # 将 nginx 修改为想要的版本信息

修改后

[root@linuxidc tools]# sed -n ’29p’ nginx-1.8.1/src/http/ngx_http_special_response.c    

“<hr><center>EWS</center>” CRLF

重新编译安装,可以看到如下效果

编译安装方法:http://www.linuxidc.com/Linux/2016-04/130727.htm

版本信息

[root@linuxidc nginx-1.8.1]# curl -I 192.168.1.7

HTTP/1.1 200 OK

Server: EWS/2.2.23   # 更改为 EWS/2.2.23 

Date: Thu, 07 Apr 2016 11:51:41 GMT

Content-Type: text/html

Content-Length: 612

Last-Modified: Thu, 07 Apr 2016 11:50:40 GMT

Connection: keep-alive

ETag: “57064990-264”

Accept-Ranges: bytes

错误链接修改后结果

Nginx 安全优化之隐藏版本号

访问错误的链接更改了版本信息。

更多 Nginx 相关教程见以下内容

CentOS 6.2 实战部署 Nginx+MySQL+PHP http://www.linuxidc.com/Linux/2013-09/90020.htm

使用 Nginx 搭建 WEB 服务器 http://www.linuxidc.com/Linux/2013-09/89768.htm

搭建基于 Linux6.3+Nginx1.2+PHP5+MySQL5.5 的 Web 服务器全过程 http://www.linuxidc.com/Linux/2013-09/89692.htm

CentOS 6.3 下 Nginx 性能调优 http://www.linuxidc.com/Linux/2013-09/89656.htm

CentOS 6.3 下配置 Nginx 加载 ngx_pagespeed 模块 http://www.linuxidc.com/Linux/2013-09/89657.htm

CentOS 6.4 安装配置 Nginx+Pcre+php-fpm http://www.linuxidc.com/Linux/2013-08/88984.htm

Nginx 安装配置使用详细笔记 http://www.linuxidc.com/Linux/2014-07/104499.htm

Nginx 日志过滤 使用 ngx_log_if 不记录特定日志 http://www.linuxidc.com/Linux/2014-07/104686.htm

Nginx 的详细介绍:请点这里
Nginx 的下载地址:请点这里

本文永久更新链接地址:http://www.linuxidc.com/Linux/2016-04/130726.htm

正文完
星哥说事-微信公众号
post-qrcode
 0
星锅
版权声明:本站原创文章,由 星锅 于2022-01-21发表,共计2916字。
转载说明:除特殊说明外本站文章皆由CC-4.0协议发布,转载请注明出处。
【腾讯云】推广者专属福利,新客户无门槛领取总价值高达2860元代金券,每种代金券限量500张,先到先得。
阿里云-最新活动爆款每日限量供应
评论(没有评论)
验证码
【腾讯云】云服务器、云数据库、COS、CDN、短信等云产品特惠热卖中