什么是HTTP服务器缺省Banner？
HTTP服务器Banner（也常被称为Server头信息）是HTTP响应头中的一个字段，它用来告诉客户端（如浏览器、爬虫、安全扫描工具）当前是哪个Web软件在处理这个请求。
缺省Banner则指的是Web服务器在没有进行任何配置修改的情况下，默认发送的Server头信息。
当你访问一个未配置的Apache服务器时,响应头中可能会包含：
Server: Apache/2.4.41 (Ubuntu)当你访问一个未配置的Nginx服务器时,可能会看到：
Server: nginx/1.18.0 (Ubuntu)当你访问一个未配置的IIS服务器时,可能会看到：
Server: Microsoft-IIS/10.0这些就是它们各自的“缺省Banner”。
为什么缺省Banner是一个安全问题？
暴露服务器的精确版本号会带来巨大的安全风险,主要有以下几点：
-
信息泄露：攻击者通过Banner可以轻松识别出你正在使用的Web服务器软件及其精确版本（
nginx/1.14.0）,这就像是告诉小偷你家的门锁品牌和型号。 -
漏洞利用：一旦攻击者知道了确切的软件版本，他们就可以在公开的漏洞数据库（如CVE、NVD）中快速查找该版本是否存在已知的、公开的漏洞，如果存在,他们就可以利用这些漏洞进行攻击，
（图片来源网络，侵删）- 远程代码执行
- 目录遍历
- 敏感信息泄露
- 拒绝服务攻击
-
自动化攻击：黑客会使用自动化工具（如Masscan, Nmap）大规模扫描互联网，这些工具会专门寻找特定版本的服务器漏洞，一个暴露了精确版本的“缺省Banner”服务器会成为自动化扫描的首选目标。
-
社会工程学攻击：知道你的服务器版本，攻击者可以更有针对性地进行社会工程学攻击,比如伪造更具迷惑性的钓鱼邮件。
一个简单的比喻：这就像你在战场上，却把你的部队番号、装备型号和编制情况都写在旗帜上高高挂起,敌人可以据此制定最有效的攻击策略。
如何隐藏或修改HTTP服务器的缺省Banner？
隐藏或修改Banner是Web服务器安全加固的一个基本步骤，核心思想是“纵深防御”,即不向攻击者提供任何可以简化他们攻击过程的信息。
以下是主流Web服务器的配置方法：
Apache
Apache提供了多种方式来修改Server头。
使用 ServerTokens 指令（推荐）
这是最常用、最有效的方法。ServerTokens 指令控制了Server响应头中包含的信息量。
在Apache的主配置文件（通常是 httpd.conf）或虚拟主机配置文件中修改：
-
最安全设置（仅显示
Apache）：ServerTokens Prod
修改后，
Server头将变为：Server: Apache -
次安全设置（显示
Apache和操作系统类型）：ServerTokens OS
修改后，
Server头将变为：Server: Apache/2.4.41 (Ubuntu)（默认值，不安全） -
其他选项：
Full(默认):Server: Apache/2.4.41 (Ubuntu) PHP/7.4.3Minor:Server: Apache/2.4Minimal:Server: Apache/2Major:Server: Apache
使用 mod_headers 模块覆盖
即使你设置了 ServerTokens Prod，有时仍然会泄露一些信息，你可以使用 mod_headers 强制设置一个自定义的Server头。
-
确保启用了
mod_headers模块：sudo a2enmod headers
-
在配置文件中添加：
<IfModule mod_headers.c> Header set Server "MyCustomServer" </IfModule>这会把
Server头完全替换成你自定义的字符串，MyCustomServer。
修改源代码（不推荐）
这是最彻底的方法，但需要重新编译Apache，操作复杂且容易出错,一般不推荐。
Nginx
Nginx的配置相对简单。
使用 server_tokens 指令
在 nginx.conf 的 http 块或虚拟主机配置中修改：
-
最安全设置（不显示版本号）：
server_tokens off;
修改后，
Server头将变为：Server: nginx（不包含版本号） Nginx生成的错误页面中的版本号也会被隐藏。 -
默认值：
server_tokens on;(默认,会显示版本号)
使用 proxy_hide_header
如果你的Nginx是作为反向代理服务器，你可能需要隐藏后端真实服务器的Server头。
在 location 块中添加：
location / {
proxy_pass http://backend_server;
proxy_hide_header Server; # 隐藏后端服务器的Server头
# 如果你想设置一个自定义的Server头
add_header Server "MyCustomServer" always;
}
Microsoft IIS
在IIS中,隐藏Banner主要通过配置自定义的HTTP响应头来实现。
- 打开 Internet Information Services (IIS) Manager。
- 在左侧选择你的网站。
- 双击 “HTTP 响应头” (HTTP Response Headers)。
- 在右侧操作面板中，点击 “设置...” (Set Common...)。
- 在弹出的窗口中，找到 “Server” 这一行，取消勾选它。
- （可选）如果你想设置一个自定义的
Server头，可以点击右侧的 “添加...” (Add...)，输入一个名称（如X-Powered-By）和一个自定义的值（如MyCustomServer）。
隐藏Banner就安全了吗？
这是一个非常重要的误区。
隐藏Banner只是安全加固的第一步，而不是万能的。
- 它不能修复漏洞：如果你的服务器软件（如Nginx 1.14.0）本身存在一个严重漏洞，即使你把
Server头改成MySecretServer，攻击者仍然可以通过其他方式（如错误页面、目录扫描、SSL/TLS指纹等）识别出你的版本,并利用该漏洞。 - 它不能替代及时更新：最根本的安全措施是及时将你的Web服务器、操作系统、应用程序等所有组件更新到最新稳定版本,更新通常包含了最新的安全补丁。
隐藏HTTP服务器的缺省Banner是一个低成本、高回报的安全实践，它增加了攻击者识别和利用漏洞的难度，是纵深防御策略中一个简单而有效的环节，但请记住，它必须与定期更新、最小化安装、配置加固等其他安全措施结合使用,才能构建一个真正安全的服务器环境。
