"Ukrywanie" headerów

[g33k 0]

Witam,

 

Zauważyłem, że mój serwer jest za bardzo rozgadany. Mianowicie chodzi mi o dwa headery: "Server" oraz "X-Powered-By".

 

Zmieniłem ustawienia na ServerSignature na Off i ServerTokens na Prod jednak wciąż zwracany jest header server z wartością apache.

 

Jak mogę "ukryć" headery Server oraz X-Powered-By?

 

Serwery stoją na Debianie 7.

 

[ittw 3]

http://www.ducea.com/2006/06/16/apache-tips-tricks-hide-php-version-x-powered-by/

[g33k 0]

Zmieniłem expose_php na off ale header ciągle jest wysyłany

 

[PapaSmerf 497]

A reset Apache i/lub php-fpm zrobiłeś?

[g33k 0]

Restartowałem. Headery server i X-Powered-By nadal są wysyłane.

[PapaSmerf 497]

Hm, niemożliwe. Jesteś pewny, że modyfikowałeś odpowiedni plik php.ini oraz httpd.conf?

[g33k 0]

http://wklej.to/gUjj7 - php.ini

http://wklej.to/Bf6mV - apache2.conf

http://wklej.to/ULpqB - conf.d/security

[PapaSmerf 497]

OK, ale Debian ma parę plików php.ini. Który zmieniałeś?

[g33k 0]

/etc/php5/apache2/php.ini

[PapaSmerf 497]

No to jeśli robiłeś restart i zmieniłeś odpowiednie pliki to musi śmigać. Możesz podać adres domeny/IP na PW?

[g33k 0]

Okazało się, że rozwiązanie było banalne.

 

w php.ini miałem odkomentowane następujące linie:

; display_errors
;   Default Value: On
;   Development Value: On
;   Production Value: Off

; error_reporting
;   Default Value: E_ALL & ~E_NOTICE & ~E_STRICT & ~E_DEPRECATED
;   Development Value: E_ALL
;   Production Value: E_ALL & ~E_DEPRECATED & ~E_STRICT