วิธีซ่อนหมายเลขรุ่นของ Nginx และ PHP บนเซิร์ฟเวอร์ LEMP

• ตรวจสอบการมองเห็นปัจจุบันของหมายเลขรุ่น
• ซ่อนหมายเลขรุ่นของ Nginx
• ซ่อนหมายเลขเวอร์ชั่นของ PHP

หากคุณใช้งานเว็บไซต์อย่างน้อยหนึ่งเว็บไซต์ตาม LEMP stack มาตรการความปลอดภัยที่ใช้งานได้จริงคือการซ่อนหมายเลขรุ่นของ Nginx และ PHP วิธีนี้จะป้องกันแฮกเกอร์จากการใช้ช่องโหว่ด้านความปลอดภัยเฉพาะรุ่นเพื่อโจมตีเซิร์ฟเวอร์ของคุณ

ลองมาดูวิธีการใช้การวัดนี้กับอินสแตนซ์เซิร์ฟเวอร์ Vultr WordPress ซึ่งใช้ LEMP stack คำแนะนำทั้งหมดในบทความนี้ควรใช้กับแอป Vultr ที่ใช้ LEMP อื่นเช่นกัน

ตรวจสอบการมองเห็นปัจจุบันของหมายเลขรุ่น

curl -I [your-server-IP]:80

จากนั้นคุณจะเห็นผลลัพธ์ซึ่งคล้ายกับ:

HTTP/1.1 200 OK
Server: nginx/1.10.0
Date: Fri, 06 May 2016 04:11:38 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
X-Powered-By: PHP/5.6.20
Link: <http://[your-server-IP]/wp-json/>; rel="https://api.w.org/"

อย่างที่คุณเห็นบนเซิร์ฟเวอร์ของฉันหมายเลขเวอร์ชันของ Nginx คือ 1.10.0 และหมายเลขเวอร์ชันของ PHP คือ 5.6.20

ซ่อนหมายเลขรุ่นของ Nginx

แสดงรายละเอียดการกำหนดค่า Nginx:

nginx -V

ในบรรดาพารามิเตอร์เหล่านั้นค้นหาพารามิเตอร์ "--conf-path" ซึ่งกำหนดตำแหน่งของไฟล์คอนฟิกูเรชัน Nginx:

--conf-path=/etc/nginx/nginx.conf

แก้ไขไฟล์คอนฟิกูเรชัน Nginx ด้วยvi:

sudo vi /etc/nginx/nginx.conf

เพิ่มประโยคการกำหนดค่าserver_tokens off;ภายในhttp { }กลุ่ม:

http {
    ... 
    sendfile        on;
    #tcp_nopush     on;

    keepalive_timeout  65;

    server_tokens  off;    #<= The sentence is added Here.

    #gzip  on;

    include /etc/nginx/conf.d/*.conf;
}

บันทึกและออก:

:wq

แก้ไขไฟล์คอนฟิกูเรชัน fastcgi:

sudo vi /etc/nginx/fastcgi_params

แทนที่บรรทัด:

fastcgi_param  SERVER_SOFTWARE    nginx/$nginx_version;

ด้วย:

fastcgi_param  SERVER_SOFTWARE    nginx;

บันทึกและออก:

:wq

ซ่อนหมายเลขเวอร์ชั่นของ PHP

แก้ไขไฟล์คอนฟิกูเรชัน PHP:

sudo vi /etc/php.ini

ค้นหาบรรทัด:

expose_php = On

แก้ไขเป็น:

expose_php = Off

บันทึกและออก:

:wq

สุดท้ายให้การแก้ไขของคุณมีผล:

sudo pkill php-fpm
sudo php-fpm
sudo service nginx restart

ตรวจสอบการดัดแปลงของคุณ:

curl -I [your-server-IP]:80

ข้อมูลรุ่นของ Nginx และ PHP ไม่ปรากฏให้เห็นอีกต่อไป:

HTTP/1.1 200 OK
Server: nginx
Date: Fri, 06 May 2016 05:16:43 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
Link: <http://[your-server-IP ]/wp-json/>; rel="https://api.w.org/"