安全防范:nginx下git引发的隐私泄露问题 1   安全事件 最近阿里云服务器后台管理系统中收到一条安全提示消息,系统配置信息泄露: http://my.domain.com/.git/config 能够被公网无认证即可访问,请修复. 一般情况下,配置信息泄露是相当严重的问题,往往会千万另外一个地方整片区域的 沦陷,比如:数据库.当然本例并没有这样,但是可以作为一个典型安全来进行讲解. 2   问题分析 由于目前的 web 项目的开发采用前后端完全分离的架构:前端全部使用静态文件,和后端代码

为了安全,想将http请求响应头里的nginx版本号信息隐藏掉: 1. nginx配置文件里增加 server_tokens off; server_tokens作用域是http server location语句块 server_tokens默认值是on,表示显示版本信息,设置server_tokens值是off,就可以在所有地方隐藏nginx的版本信息. 2.  如果php配置文件里设置了fastcgi_param SERVER_SOFTWARE,则找到这一行修改一下: 编辑php-fpm配

为了安全,想将http请求响应头里的nginx版本号信息隐藏掉: 1. nginx配置文件里增加 server_tokens off; server_tokens作用域是http server location语句块 server_tokens默认值是on,表示显示版本信息,设置server_tokens值是off,就可以在所有地方隐藏nginx的版本信息. 2.  如果php配置文件里设置了fastcgi_param SERVER_SOFTWARE,则找到这一行修改一下: 编辑php-fpm配

搭建好nginx或者apache,为了安全起见我们都会隐藏他们的版本号,这边讲的是nginx的版本号,如果你也想隐藏apache的版本号,那请点前面的链接.请看nginx版本号信息隐藏文章. Nginx默认是显示版本号的,如: [root@bkjz ~]# curl -I www.nginx.org HTTP/ OK Server: nginx/ Date: Tue, Jul :: GMT Content-Type: text/html Content-Length: Last-Modified

为什么要隐藏 Nginx 版本号:一般来说,软件的漏洞都与版本有关,隐藏版本号是为了防止恶意用户利用软件漏洞进行攻击 worker_processes 1; events { worker_connections 1024; } http { include mime.types; default_type application/octet-stream; sendfile on; keepalive_timeout 65; server_tokens off; # 隐藏版本号 server

一般来说,黑客攻击服务器的首要步骤就是收集信息,比如说你的软件版本,这些将成为下一步有针对性攻击的依据.所以说一定程度的隐藏这些信息就显得非常有必要了,本文将简单介绍如何在网络上隐藏Nginx版本号以及PHP的版本号. 1.隐藏Nginx版本号,Nginx的版本号主要在两个地方会有, 第一个是HTTP header,有个Server:nginx/1.x.x类似会暴露Web服务器所用软件名称以及版本号,这个也是大多数Web服务器最容易暴露版本号的地方,如下: [root@bkjz ~]# curl

Nginx默认是显示版本号的,如: [root@bkjz ~]# curl -I www.nginx.orgHTTP/1.1 200 OKServer: nginx/0.8.44Date: Tue, 13 Jul 2010 14:05:11 GMTContent-Type: text/htmlContent-Length: 8284Last-Modified: Tue, 13 Jul 2010 12:00:13 GMTConnection: keep-aliveKeep-Alive: timeo

Nginx默认是显示版本号的,如: [root@bkjz ~]# curl -I www.nginx.orgHTTP/1.1 200 OKServer: nginx/0.8.44Date: Tue, 13 Jul 2010 14:05:11 GMTContent-Type: text/htmlContent-Length: 8284Last-Modified: Tue, 13 Jul 2010 12:00:13 GMTConnection: keep-aliveKeep-Alive: timeo

项目在安全检查中发现很多问题,要求整改,其中就有最常见的xss攻击 漏洞描述 渗透测试人员检测到网站筛选框均存在反射型跨站脚本攻击,例如: "><script>alert(1)</script> 漏洞建议 对用户输入的数据进行严格过滤,包括但不限于以下字符及字符串 Javascript script src img onerror { } ( ) < > = , . ; : " ' # ! / * 使用一个统一的规则和库做输出编码 最好前后端一

隐藏php版本号: 打开php.ini配置文件  找到 expose_php 关键修改为 off 即可 重启后 web头部就不会有了 隐藏 nginx 服务器版本号: 打开nginx配置文件,在http中加入: 保存重启后无版本号:

恶意域名指向: 比如,有一个垃圾域名将解析指向到了你们服务器的IP,一般多一个解析可能不会有什么问题,但是现在全民备案时期,可能你的运营商会联系你,说你们的域名没备案,可能会封你们的80端口,然后会导致你们的网页访问不了.等之类的情况. nginx屏蔽此类恶意域名指向的步骤如下: 1. 找到nginx.conf文件,加上或者修改默认配置,比如如下配置.<第4行至第8行,添加一个server段> 1 # Default vhost 2 # 3 4 server { 5 listen 80 def

方法一: 使用 nginx -v nginx -v 方法二: 使用 nginx -V nginx -V 注意: nginx -V 显示的是: 版本号 / 编译器版本 / 配置参数

# ./nginx -v Tengine version: Tengine/ (nginx/)

在/usr/local/nginx/conf/目录中,修改nginx.conf文件 在http {  }段中加入 http { server_tokens off; }

vi /etc/nginx/nginx.conf 配置文件中,http区段中插入“server_tokens  off;”,重新载入配置文件 worker_processes 1; events { worker_connections 1024; } http { include mime.types; default_type application/octet-stream; server_tokens off; expires 5s; sendfile on; 重载nginx配置文件 n

一.问题描述Tomcat报错页面泄漏Apache Tomcat/7.0.52相关版本号信息,是攻击者攻击的途径之一.因此实际当中建议去掉版本号信息.二.解决办法 1.进入到tomcat/lib目录下,用电脑自带解压软件打开catalina.jar  进入到\org\apache\catalina\util目录下2.编辑ServerInfo.properties文件,编辑最后三行,去掉版本号等信息3.改完后自动跳出提示,点击“是”自动更新catalina.jar重新打包.

vim nginx.conf http { server_tokens off;} php-fpm fastcgi.conf或fcgi.conf fastcgi_param SERVER_SOFTWARE nginx/$nginx_version; 改为fastcgi_param SERVER_SOFTWARE nginx;

Linux环境下,怎么确定Nginx是以那个config文件启动的? 输入命令行: ps  -ef | grep nginx 摁回车,将出现如下图片: master process 后面的就是 nginx的目录. 怎么查看服务器上安装的nginx版本号,主要是通过ngix的-v或-V选项,查看方法如下图所示: -v 显示 nginx 的版本. -V 显示 nginx 的版本,编译器版本和配置参数. 查看服务器上安装的Nginx版本号 http://www.linuxidc.com/Linux/2

一.先介绍nginx隐藏版本号的方法. 搭建好nginx或者apache,为了安全起见我们都会隐藏他们的版本号,这边讲的是nginx的版本号,如果你也想隐藏apache的版本号,那请点前面的链接.请看nginx版本号信息隐藏文章. Nginx默认是显示版本号的,如: [root@bkjz ~]# curl -I www.nginx.org 1 [root@bkjz ~]# curl -I www.nginx.org HTTP/1.1 200 OK Server: nginx/0.8.44 Dat

可能有时候我们看某些站点想知道别人在使用什么版本的web服务器之类的信息时,却发现并未显示版本号,甚至连WEB服务器都有变化,可以通过以下 方法来隐藏Nginx.PHP的版本号信息,来提升一定的安全性:(当然了,这都是些小打小闹的措施,重点还是在其他防护措施上!) 一.隐藏Nginx版本号 第一步: vi /usr/local/nginx/conf/nginx.conf 在http{}中加入 server_tokens off; 第二歩: vi /usr/local/nginx/conf/fas

隐藏NGINX服务器名称: 修改或隐藏服务器名称需要修改源码nginx.h,nginx.h在src/core/目录下 .具体操作如下: 把下面两个宏的值修改为自己设定的值,例如"NGX". 都改为 "" 即隐藏名称. 1: #define NGINX_VER         "nginx/" NGINX_VERSION   改为 #define NGINX_VER          "NGX" NGINX_VERSION #d