[Date Prev][Date Next] [Thread Prev][Thread Next] [Date Index] [Thread Index]

Re: [semi-OT] Modificar, mostrar y/u ocultar información de Apache en servidor web



On 13/05/13 21:31, Miguel Matos wrote:
Saludos lista, quisiera que me ayudasen a resolver unas dudas particulares.
1) Puedo ver en [1] algo que me llama la atención. Para l@s usuari@s
que no pueden ingresar, este punto es el que me intriga:
Apache/2.4.4 (Unix) Server at cdimage.debian.org Port 80

2) En [2] puedo leer esta información:
"Como vemos estamos revelando El tipo de sistema operativo ademas del
tipo de servidor Web, su version y por si esto fuera poco la version
de php."

Mi interés es siempre estar protegido lo mejor posible, por ello, si
voy a ser desarrollador de sistemas de información (una de las tantas
cosas que puede hacer un ingeniero de sistemas/software), debo conocer
muchos temas del área de seguridad. Y me llama la atención el programa
que usan. ¿Alguien sabe cómo se llama y si es posible obtenerlo por
apt-get o vía .tar.gz? Desde ya gracias por su apoyo.

Creo que es addon "Tamper Data" (o alguno muy parecido). Pero vamos, que puedes obtener lo mismo con cualquier herramienta que te permita lanzar un request, p.ej.:

curl -I  http://website.tld/

O incluso por telnet (si sabes construir un GET).

[1] http://cdimage.debian.org/debian-cd/7.0.0/i386/iso-dvd/
[2] http://www.technoblog.com.ar/index.php/2009/10/ocultar-informacion-peligrosa-en-apache/

P.D.: Puedo ver que, de donde me estoy bajando el DVD 1 de la nueva
versión de Debian[3] (que por cierto, desde mi trabajo se tardará
hasta 30 horas en bajarlo, ni el Ares está permitido), me topo con
esto:
Apache/2.4.4 (Unix) Server at ftp.acc.umu.se Port 80

[3]http://hammurabi.acc.umu.se/debian-cd/7.0.0/i386/iso-dvd/debian-7.0.0-i386-DVD-1.iso

Entonces, cuanto más sepa cómo protegerme, mejor para mí. Tal vez no
completo, pero ir un paso adelante ayuda.

P.D.2: El servidor Debian de Venezuela (cdn.debian.net) también
Apache/2.2.9 (Debian) Server at cdn.debian.net Port 80

<pone cara de temor>

La "seguridad por oscuridad" funciona hasta que encuentran otro modo de obtener esa información, así que sólo es una _pequeña_ barrera más para los "juankers" porque hoy en día hay herramientas para todo.

Salut,
jors


Reply to: