推 superGA:push 12/04 17:47
※ 引述《superGA (kid...)》之銘言：
: 有時候會看到一些網站的URL沒有後面的.php .jsp .xxx
: 自己加上去反而無法開啟
: 像
: http://www.google.com.tw/search?hl=zh-TW&q=abc
: 讓人無法得知該網站是使用哪種語言開發
: 請問要如何隱藏
: 我想這對網站的安全性應該有一些幫助
: 謝謝回覆
如果真的是為了安全性，想要隱藏網頁程式語言種類的話。
除了 appleboy 前輩的講解之外，Apache 也有必須調整的地方。
Apache 1.x 系列必須依靠 mod_security （http://www.modsecurity.org/）。
（之前我在部份 Apache 1.3 上裝這東西，偽裝成 IIS 。 :p）
Apache 2.x 系列可以單純更改 ServerTokens ，甚至加上 mod_security 。
舉手上某台機器當例子，以下的狀態訊息是單純用 telnet [IP] 80 抓出來的。
（提供的資訊由最多到最少排列）
* ServerTokens Full：
Server: Apache/2.2.3 (FreeBSD) mod_ssl/2.2.3 OpenSSL/0.9.7e-p1 DAV/2
PHP/4.4.4 with Suhosin-Patch
* ServerTokens OS：
Server: Apache/2.2.3 (FreeBSD)
* ServerTokens Minimal：
Server: Apache/2.2.3
* ServerTokens Minor：
Server: Apache/2.2
* ServerTokens Major：
Server: Apache/2
* ServerTokens Prod：
Server: Apache
很明顯的，從這幾個訊息幾乎都可以猜到網頁程式使用那種語言。
另外，除非是自行撰寫或是大幅更動程式碼（如 appleboy 前輩大幅改寫的那套討論區
程式），不然軟體本身不支援 rewrite_rule 的設定也沒用，頁面裡面的 hyper link
還是會露餡。
--
.╭═════╮。. ｏ 。 . 。╭═╮ｏ╭╮。. o 。 . ｏ o . 。 ╰● √ 。
╰═╗ ╔═╯╭══╮╭══╮║▍║. ║║╭══╮╭╮。. ╭══╮ ◥██◤ｏ
o 。║▍║。ｏ║╭╮║║╭╮║║▍╚═╝║║╭╮║║╘═╮║╭╮║。 ◥◤ 。
。 ║▍║ 。 ║║║║║╰╯║║▍╔═╗║║║║║║╔═╯║║║║ ｏ ∥ o .
。╭╯▃║ｏ ║╰╯║║══╯║▃║。║║║╰╯║║║o。.║║║║. 。∥ . 。
╰══╯ ╰══╯╰══╯╰═╯ ╰╯╰══╯╰╯ ╰╯╰╯By meei0531
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 59.113.160.103