Как скрыть номера версий Nginx и PHP на сервере LEMP

• Определить текущую видимость номеров версий
• Скрыть номер версии Nginx
• Скрыть номер версии PHP

Если вы работаете с одним или несколькими веб-сайтами, основанными на стеке LEMP, практической мерой безопасности является скрытие номеров версий Nginx и PHP. Это не позволит хакерам использовать уязвимости, зависящие от версии, для атаки на ваши серверы.

Давайте посмотрим, как реализовать эту меру на экземпляре сервера Vultr WordPress, который основан на стеке LEMP. Все инструкции в этой статье должны относиться и к другим приложениям Vultr на основе LEMP.

Определить текущую видимость номеров версий

curl -I [your-server-IP]:80

Тогда вы увидите результат, который напоминает:

HTTP/1.1 200 OK
Server: nginx/1.10.0
Date: Fri, 06 May 2016 04:11:38 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
X-Powered-By: PHP/5.6.20
Link: <http://[your-server-IP]/wp-json/>; rel="https://api.w.org/"

Как видите, на моем сервере номер версии Nginx равен 1.10.0, а номер версии PHP - 5.6.20.

Скрыть номер версии Nginx

Показать детали конфигурации Nginx:

nginx -V

Среди этих параметров найдите параметр «--conf-path», который определяет местоположение файла конфигурации Nginx:

--conf-path=/etc/nginx/nginx.conf

Измените файл конфигурации Nginx vi:

sudo vi /etc/nginx/nginx.conf

Добавьте предложение конфигурации server_tokens off;в http { }сегменте:

http {
    ... 
    sendfile        on;
    #tcp_nopush     on;

    keepalive_timeout  65;

    server_tokens  off;    #<= The sentence is added Here.

    #gzip  on;

    include /etc/nginx/conf.d/*.conf;
}

Сохранить и выйти:

:wq

Отредактируйте файл конфигурации fastcgi:

sudo vi /etc/nginx/fastcgi_params

Заменить строку:

fastcgi_param  SERVER_SOFTWARE    nginx/$nginx_version;

С:

fastcgi_param  SERVER_SOFTWARE    nginx;

Сохранить и выйти:

:wq

Скрыть номер версии PHP

Измените файл конфигурации PHP:

sudo vi /etc/php.ini

Найдите строку:

expose_php = On

Изменить его на:

expose_php = Off

Сохранить и выйти:

:wq

Наконец, примените ваши изменения:

sudo pkill php-fpm
sudo php-fpm
sudo service nginx restart

Проверьте ваши модификации:

curl -I [your-server-IP]:80

Информация о версии Nginx и PHP больше не отображается:

HTTP/1.1 200 OK
Server: nginx
Date: Fri, 06 May 2016 05:16:43 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
Link: <http://[your-server-IP ]/wp-json/>; rel="https://api.w.org/"