Każda strona w aplikacji MVC, z którą pracuję, ustawia następujące nagłówki HTTP w odpowiedziach:
X-Powered-By: ASP.NET
X-AspNet-Version: 2.0.50727
X-AspNetMvc-Version: 2.0
Jak mogę zapobiec ich wyświetlaniu?
Każda strona w aplikacji MVC, z którą pracuję, ustawia następujące nagłówki HTTP w odpowiedziach:
X-Powered-By: ASP.NET
X-AspNet-Version: 2.0.50727
X-AspNetMvc-Version: 2.0
Jak mogę zapobiec ich wyświetlaniu?
Odpowiedzi:
X-Powered-By
to niestandardowy nagłówek w usługach IIS. Od wersji IIS 7 można je usunąć, dodając następujące elementy do web.config
:
<system.webServer>
<httpProtocol>
<customHeaders>
<remove name="X-Powered-By" />
</customHeaders>
</httpProtocol>
</system.webServer>
Ten nagłówek można również zmodyfikować zgodnie ze swoimi potrzebami. Więcej informacji można znaleźć pod adresem http://www.iis.net/ConfigReference/system.webServer/httpProtocol/customHeaders
Dodaj to do, web.config
aby pozbyć się X-AspNet-Version
nagłówka:
<system.web>
<httpRuntime enableVersionHeader="false" />
</system.web>
Na koniec, aby usunąć X-AspNetMvc-Version
, edytować Global.asax.cs
i dodać następujące elementy w Application_Start
wydarzeniu:
protected void Application_Start()
{
MvcHandler.DisableMvcResponseHeader = true;
}
Możesz także modyfikować nagłówki w czasie wykonywania za pośrednictwem Application_PreSendRequestHeaders
zdarzenia w Global.asax.cs
. Jest to przydatne, jeśli wartości nagłówka są dynamiczne:
protected void Application_PreSendRequestHeaders(object source, EventArgs e)
{
Response.Headers.Remove("foo");
Response.Headers.Add("bar", "quux");
}
X-Powered-By
nagłówka. Zobacz inne odpowiedzi, jak to osiągnąć, w web.config
.
Możesz je również usunąć, dodając kod do pliku global.asax:
protected void Application_PreSendRequestHeaders(object sender, EventArgs e)
{
HttpContext.Current.Response.Headers.Remove("X-Powered-By");
HttpContext.Current.Response.Headers.Remove("X-AspNet-Version");
HttpContext.Current.Response.Headers.Remove("X-AspNetMvc-Version");
HttpContext.Current.Response.Headers.Remove("Server");
}
<system.webServer> <httpProtocol> <customHeaders> <remove name="X-Powered-By" /> </customHeaders> <redirectHeaders> <clear /> </redirectHeaders> </httpProtocol> </system.webServer>
Znalazłem tę konfigurację w mojej, web.config
która była dla New Web Site...
utworzonego w Visual Studio (w przeciwieństwie do a New Project...
). Ponieważ pytanie stanowi aplikację ASP.NET MVC, nie jest tak istotna, ale nadal jest opcją.
<system.webServer>
<httpProtocol>
<customHeaders>
<clear />
<remove name="X-Powered-By" />
</customHeaders>
</httpProtocol>
</system.webServer>
Aktualizacja : Troy Hunt ma również artykuł zatytułowany Shhh… nie pozwól, aby nagłówki odpowiedzi mówiły zbyt głośno, przedstawiając szczegółowe kroki dotyczące usuwania tych nagłówków, a także łącze do jego narzędzia ASafaWeb do skanowania w poszukiwaniu ich i innych konfiguracji zabezpieczeń.
code
<security> <requestFiltering> <verbs> <add verb = "OPTIONS" allowed = "false" /> </verbs> </requestFiltering> </security>code
.NET Core
Aby usunąć nagłówek serwera , w pliku Program.cs dodaj następującą opcję:
.UseKestrel(opt => opt.AddServerHeader = false)
Dla dot net core 1, wstaw opcję add wewnątrz wywołania .UseKestrel (). W przypadku dot net core 2 dodaj wiersz po UseStartup ().
Aby usunąć nagłówek X-Powered-By , jeśli został wdrożony w usługach IIS, edytuj plik web.config i dodaj następującą sekcję w tagu system.webServer:
<httpProtocol>
<customHeaders>
<remove name="X-Powered-By" />
</customHeaders>
</httpProtocol>
.NET 4.5.2
Aby usunąć nagłówek serwera , w pliku global.asax dodaj następujące elementy:
protected void Application_BeginRequest(object sender, EventArgs e)
{
string[] headers = { "Server", "X-AspNet-Version" };
if (!Response.HeadersWritten)
{
Response.AddOnSendingHeaders((c) =>
{
if (c != null && c.Response != null && c.Response.Headers != null)
{
foreach (string header in headers)
{
if (c.Response.Headers[header] != null)
{
c.Response.Headers.Remove(header);
}
}
}
});
}
}
Przed .NET 4.5.2
Dodaj następującą klasę C # do projektu:
public class RemoveServerHeaderModule : IHttpModule
{
public void Init(HttpApplication context)
{
context.PreSendRequestHeaders += OnPreSendRequestHeaders;
}
public void Dispose() { }
void OnPreSendRequestHeaders(object sender, EventArgs e)
{
HttpContext.Current.Response.Headers.Remove("Server");
}
}
a następnie w swoim web.config dodaj następującą sekcję <modules>:
<system.webServer>
....
<modules>
<add name="RemoveServerHeaderModule" type="MyNamespace.RemoveServerHeaderModule" />
</modules>
Jednak miałem problem, w którym podprojekty nie mogły znaleźć tego modułu. Nie śmieszne.
Aby usunąć znacznik „X-AspNetMvc-Version” dla dowolnej wersji platformy .NET, zmodyfikuj plik „web.config”, aby zawierał:
<system.web>
...
<httpRuntime enableVersionHeader="false" />
...
</system.web>
Dziękuję firmie Microsoft za uczynienie tego niewiarygodnie trudnym. A może taki był Twój zamiar, abyś mógł śledzić instalacje IIS i MVC na całym świecie ...
RemoveServerHeaderModule
tym, że to nie zadziała w projekcie WebApi.
Zgodnie z opisem w sekcji Maskowanie aplikacji sieci Web ASP.NET MVC w usługach IIS 7 można wyłączyć nagłówek X-AspNet-Version, stosując następującą sekcję konfiguracji do pliku web.config:
<system.web>
<httpRuntime enableVersionHeader="false"/>
</system.web>
i usuń nagłówek X-AspNetMvc-Version, zmieniając plik Global.asax.cs w następujący sposób:
protected void Application_Start()
{
MvcHandler.DisableMvcResponseHeader = true;
}
Zgodnie z opisem w nagłówkach niestandardowych Nagłówek „X-Powered-By” można usunąć, stosując następującą sekcję konfiguracji do pliku web.config:
<system.webServer>
<httpProtocol>
<customHeaders>
<clear />
</customHeaders>
</httpProtocol>
</system.webServer>
Nie ma łatwego sposobu na usunięcie nagłówka odpowiedzi „Server” poprzez konfigurację, ale można zaimplementować, HttpModule
aby usunąć określone nagłówki HTTP, zgodnie z opisem w artykule Maskowanie aplikacji sieci Web ASP.NET MVC w usługach IIS 7 oraz w instrukcji usuwania serwera x-aspnet-version-x-aspnetmvc-version-and-x-powered-by-from-the-response-header-in-iis7 .
Jak pokazano na stronie Usuwanie standardowych nagłówków serwera na stronie Witryny sieci Web systemu Windows Azure , nagłówki można usunąć, wykonując następujące czynności:
<?xml version="1.0" encoding="utf-8"?>
<configuration>
<system.webServer>
<httpProtocol>
<customHeaders>
<clear />
</customHeaders>
</httpProtocol>
<security>
<requestFiltering removeServerHeader="true"/>
</security>
</system.webServer>
<system.web>
<httpRuntime enableVersionHeader="false" />
</system.web>
</configuration>
Spowoduje to usunięcie nagłówka serwera i nagłówków X.
To zadziałało lokalnie w moich testach w programie Visual Studio 2015.
W Asp.Net Core możesz edytować pliki web.config w następujący sposób:
<httpProtocol>
<customHeaders>
<remove name="X-Powered-By" />
</customHeaders>
</httpProtocol>
Możesz usunąć nagłówek serwera w opcjach Kestrel:
.UseKestrel(c =>
{
// removes the server header
c.AddServerHeader = false;
})
Sprawdź ten blog Nie używaj kodu do usuwania nagłówków. Według Microsoft jest niestabilny
Moje podejście do tego:
<system.webServer>
<httpProtocol>
<!-- Security Hardening of HTTP response headers -->
<customHeaders>
<!--Sending the new X-Content-Type-Options response header with the value 'nosniff' will prevent
Internet Explorer from MIME-sniffing a response away from the declared content-type. -->
<add name="X-Content-Type-Options" value="nosniff" />
<!-- X-Frame-Options tells the browser whether you want to allow your site to be framed or not.
By preventing a browser from framing your site you can defend against attacks like clickjacking.
Recommended value "x-frame-options: SAMEORIGIN" -->
<add name="X-Frame-Options" value="SAMEORIGIN" />
<!-- Setting X-Permitted-Cross-Domain-Policies header to “master-only” will instruct Flash and PDF files that
they should only read the master crossdomain.xml file from the root of the website.
https://www.adobe.com/devnet/articles/crossdomain_policy_file_spec.html -->
<add name="X-Permitted-Cross-Domain-Policies" value="master-only" />
<!-- X-XSS-Protection sets the configuration for the cross-site scripting filter built into most browsers.
Recommended value "X-XSS-Protection: 1; mode=block". -->
<add name="X-Xss-Protection" value="1; mode=block" />
<!-- Referrer-Policy allows a site to control how much information the browser includes with navigations away from a document and should be set by all sites.
If you have sensitive information in your URLs, you don't want to forward to other domains
https://scotthelme.co.uk/a-new-security-header-referrer-policy/ -->
<add name="Referrer-Policy" value="no-referrer-when-downgrade" />
<!-- Remove x-powered-by in the response header, required by OWASP A5:2017 - Do not disclose web server configuration -->
<remove name="X-Powered-By" />
<!-- Ensure the cache-control is public, some browser won't set expiration without that -->
<add name="Cache-Control" value="public" />
</customHeaders>
</httpProtocol>
<!-- Prerequisite for the <rewrite> section
Install the URL Rewrite Module on the Web Server https://www.iis.net/downloads/microsoft/url-rewrite -->
<rewrite>
<!-- Remove Server response headers (OWASP Security Measure) -->
<outboundRules rewriteBeforeCache="true">
<rule name="Remove Server header">
<match serverVariable="RESPONSE_Server" pattern=".+" />
<!-- Use custom value for the Server info -->
<action type="Rewrite" value="Your Custom Value Here." />
</rule>
</outboundRules>
</rewrite>
</system.webServer>
Ze względu na kompletność istnieje inny sposób usunięcia Server
nagłówka za pomocą regedit.
Utwórz wpis DWORD o nazwie DisableServerHeader w następującym kluczu rejestru i ustaw wartość na 1.
HKLM \ SYSTEM \ CurrentControlSet \ Services \ HTTP \ Parameters
Wolałbym znaleźć właściwe rozwiązanie przy użyciu Web.config, ale używanie <rewrite>
nie jest dobre, ponieważ wymaga zainstalowania modułu przepisywania, a nawet wtedy tak naprawdę nie usunie nagłówka, po prostu go opróżni.
Możesz zmienić dowolny nagłówek lub cokolwiek Application_EndRequest()
próbując tego
protected void Application_EndRequest()
{
// removing excessive headers. They don't need to see this.
Response.Headers.Remove("header_name");
}
Nagłówek X-Powered-By jest dodawany przez IIS do odpowiedzi HTTP, dzięki czemu można go usunąć nawet na poziomie serwera za pośrednictwem Menedżera IIS:
Możesz bezpośrednio użyć pliku web.config:
<system.webServer>
<httpProtocol>
<customHeaders>
<remove name="X-Powered-By" />
</customHeaders>
</httpProtocol>
</system.webServer>