Toute mission de Pentest commence par la collecte d’informations. Pour un serveur web, en plus des informations de bases, les informations des versions installées vont permettre d’effectuer des recherches dans les bases de vulnérabilités, puis de chercher des exploits afin de les exploiter.
apache
On va modifier le fichier /etc/apache2/conf.d/security (sous debian) et modifier les paramètres suivants :
ServerSignature Off ServerTokens Prod TraceEnable Off
Puis on redémarre apache.
Php
Il faut modifier le fichier le fichier /etc/php5/apache2/php.ini
expose_php = Off
Ensuite, il ne vous reste plus qu’à relancer un scan afin de vérifier que les modifications ont bien été prises en compte.
1 réflexion sur « Modifier la configuration de apache et php pour donner le moins d’informations possibles aux outils de scans »