http 응답 헤더에서 아파치 서버 버전 정보 삭제

보안조치 중 흔히 나오는 웹서버 정보 삭제에 대한 요구사항이다. 엉뚱한 곳에 값을 넣었다가 서버가 죽어서 식겁 했지만 다행히 금방 고쳤다.

방법

httpd.conf 파일에 아래 설정을 추가한다. 다른 포스트에 온통 아래 값을 변경하라고 하는데 우리 서버에는 설정이 아예 없어서 당황했다. 다행히 그냥 한 줄 추가하니까 잘 적용됐다.

어쩌고 저쩌고 원래 있는 설정 정보 ...
ServerTokens Prod
어쩌고 저쩌고 원래 있는 설정 정보 ...

참! 적용 전에 기존 파일을 백업해두는 것을 절대 잊지 말자. 사람 앞 일은 모른다 ㅜㅜ

기존 설정 파일 백업해두기

cp httpd.conf httpd.conf.origin

결과 확인

현재 curl로 헤더를 요청해보면(-I 옵션) 아래처럼 서버 정보가 나오고 있다.

# curl -I 127.0.0.1:80
HTTP/1.1 302 Found
Date: Mon, 23 Nov 2020 05:19:26 GMT
Server: Apache/2.4.6 (Red Hat Enterprise Linux) OpenSSL/1.0.2k-fips mod_jk/1.2.46
Location: https://127.0.0.1/
Content-Type: text/html; charset=iso-8859-1

변경한 설정을 적용하기 위해 restart 한다.

# service httpd restart
Redirecting to /bin/systemctl restart httpd.service

다시 확인해보면 아래처럼 서버 버전 정보가 사라지고 Apache로 변경되었다.

# curl -I 127.0.0.1:80
HTTP/1.1 302 Found
Date: Mon, 23 Nov 2020 05:19:47 GMT
Server: Apache
Location: https://127.0.0.1/
Content-Type: text/html; charset=iso-8859-1