Autor: Andrei Drusian
eMail: drusian[NOSPAM]linuxbsd.com.br
Data: 12 de novembro de 2003

Salve Comunidade!
Hoje a dica é sobre como esconder a versão do HTTPD Apache, você deve estar se perguntando o porque de esconder a versão de seus Softwares. Bem acontece que sabendo a versão correta do seu httpd fica bem fácil achar algum exploit para explorar falhas da versão, aumentando bastante a chance de sucesso do atacante. Esta dica não serve como proteção, mais podemos usá-la como complemento, aumentando a significativamente a segurança.

Se você instala seu httpd através dos fontes, você pode alterar seu src/include e editar o httpd.h
Localize as linhas:
SERVER_BASEPRODUCT
SERVER_ BASEREVISION

Você pode usar sua imaginação, por exemplo mentir que o daemon httpd é um IIS.

Agora vamos mudar algumas linhas no httpd.conf.
A primeira coisa a fazer é esconder a assinatura do servidor, localize em seu httpd.conf a linha:

ServerSignature On

Altere para:

ServerSignature Off

Uma linha que não vem incluída por padrão no httpd.conf que pode ser muito útil, é a ServerTokens, abaixo vamos comentar esta opção.

No seu httpd.conf, adicione a linha:
ServerTokens [option]

As possiveis opções são:

ServerTokens Prod
Está opção revela somente o nome do produto, caso scaneado só apareceria o nome "Apache"

ServerTokens Min
Esta opção revela: Produto e a versão: Apache/1.3.22

ServerTokens OS
Esta opção revela: Produto, Versão e o Sistema Operacional: Apache/1.3.22 (Unix)

ServerTokens Full
Esta opção revela: Produto, Versão, OS e Modulos

O mais recomendado destas opções seria a opção "prod"

Com estes 3 passos já criamos uma boa obscuridade em nosso favor, dificultando o atacante.
Espero que está dica seja útil, até a próxima!

Abraços :wq!