Com amagar els números de versió de Nginx i PHP en un servidor LEMP

Si esteu executant un o més llocs web basats en la pila LEMP, una mesura de seguretat pràctica és ocultar els números de versió de Nginx i PHP. Això evitaria que els pirates informàtics utilitzin infraccions de seguretat específiques de la versió per atacar els vostres servidors.

Fem una ullada a com implementar aquesta mesura en una instància del servidor Vultr WordPress que es basa en la pila LEMP. Totes les instruccions d'aquest article també s'han d'aplicar a altres aplicacions Vultr basades en LEMP.

Determinar la visibilitat actual dels números de versió

curl -I [your-server-IP]:80

Aleshores veureu el resultat, que s'assembla a:

HTTP/1.1 200 OK
Server: nginx/1.10.0
Date: Fri, 06 May 2016 04:11:38 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
X-Powered-By: PHP/5.6.20
Link: <http://[your-server-IP]/wp-json/>; rel="https://api.w.org/"

Com veieu, al meu servidor, el número de versió de Nginx és 1.10.0 i el número de versió de PHP és 5.6.20.

Amaga el número de versió de Nginx

Mostra els detalls de configuració de Nginx:

nginx -V

Entre aquests paràmetres, trobeu el paràmetre "--conf-path" que defineix la ubicació del fitxer de configuració Nginx:

--conf-path=/etc/nginx/nginx.conf

Modifiqueu el fitxer de configuració de Nginx amb vi:

sudo vi /etc/nginx/nginx.conf

Afegiu una frase de configuració server_tokens off;dins del http { }segment:

http {
    ... 
    sendfile        on;
    #tcp_nopush     on;

    keepalive_timeout  65;

    server_tokens  off;    #<= The sentence is added Here.

    #gzip  on;

    include /etc/nginx/conf.d/*.conf;
}

Desa i surt:

:wq

Editeu el fitxer de configuració fastcgi:

sudo vi /etc/nginx/fastcgi_params

Substitueix la línia:

fastcgi_param  SERVER_SOFTWARE    nginx/$nginx_version;

Amb:

fastcgi_param  SERVER_SOFTWARE    nginx;

Desa i surt:

:wq

Amaga el número de versió de PHP

Modifiqueu el fitxer de configuració PHP:

sudo vi /etc/php.ini

Troba la línia:

expose_php = On

Modifica-ho a:

expose_php = Off

Desa i surt:

:wq

Finalment, poseu en vigor les vostres modificacions:

sudo pkill php-fpm
sudo php-fpm
sudo service nginx restart

Verifica les teves modificacions:

curl -I [your-server-IP]:80

La informació de la versió de Nginx i PHP ja no és visible:

HTTP/1.1 200 OK
Server: nginx
Date: Fri, 06 May 2016 05:16:43 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
Link: <http://[your-server-IP ]/wp-json/>; rel="https://api.w.org/"