去除 Server 响应头实践

这篇文章我们来解决 AppScan 扫描漏洞中出现的另外一个漏洞“在应用程序中发现不必要的 Http 响应头”。

出现这个漏洞是因为我们返回的响应头出现了 Server 这个请求头：

查阅网上的资料，许多使用到了 server_tokens off; 命令，那我们在配置文件中的 http 块下添加这个命令看看：

更新 nginx 配置，刷新浏览器，我们可以看到 nginx 的版本号被隐藏了：

但是这并不能解决刚才提到的漏洞问题，漏洞的解决需要我们把这个 Server 头去掉，这需要我们使用到一个插件，这个插件可以帮我们设置和清除输入和输出标头 ：

GitHub - openresty/headers-more-nginx-module: Set, add, and clear arbitrary output headers in NGINX http servers

在这里我使用 nginx-1.21.4 和 headers-more-nginx-module-0.34 做演示：

通过 ftp 工具将两个包上传到我们的虚拟机或者服务器后，将包解压：

tar -zxvf nginx-1.21.4.tar.gz
tar -zxvf headers-more-nginx-module-0.34.tar.gz

然后我们在构建我们的 nginx 时，使用以下命令：

cd nginx-1.21.4
# --prefix 指定 nginx 的安装目录
# --add-module 添加第三方模块
./configure --prefix=/usr/nginx \
     --add-module=/your_path/headers-more-nginx-module
# make 编译
# make install 安装
make & make install

接着我们在 nginx 配置文件中的 http 块中加入 more_clear_headers 'Server'; 指令：

然后我们启动 nginx，响应头里的 Server 头就去掉了：

如果你需要使用 docker 来部署 nginx，可以使用这样如下 dockerfile 构建：

# 动态指定平台
ARG TARGETPLATFORM

FROM alpine:3.17 AS builder

# 定义版本号
ENV NGINX_VERSION=1.27.5
ENV MODULE_VERSION=0.38

# 配置清华 Alpine 镜像源
RUN echo "https://mirrors.tuna.tsinghua.edu.cn/alpine/v3.17/main" > /etc/apk/repositories && \
    echo "https://mirrors.tuna.tsinghua.edu.cn/alpine/v3.17/community" >> /etc/apk/repositories && \
    apk update && apk upgrade

# 安装编译依赖
RUN apk add --no-cache \
    pcre-dev \
    zlib-dev \
    build-base \
    ca-certificates \
    perl

# 编译 Nginx 模块
COPY nginx-${NGINX_VERSION}.tar.gz /tmp/
COPY headers-more-nginx-module-${MODULE_VERSION}.tar.gz /tmp/

RUN cd /tmp && \
    tar -xvzf nginx-${NGINX_VERSION}.tar.gz && \
    tar -xvzf headers-more-nginx-module-${MODULE_VERSION}.tar.gz && \
    cd /tmp/nginx-${NGINX_VERSION} && \
    ./configure --with-compat --add-dynamic-module=/tmp/headers-more-nginx-module-${MODULE_VERSION} && \
    make modules

# 运行阶段
FROM nginx:1.27.5-alpine

# 复制模块和配置
COPY --from=builder /tmp/nginx-${NGINX_VERSION}/objs/ngx_http_headers_more_filter_module.so /etc/nginx/modules/
COPY nginx.conf /etc/nginx/nginx.conf
RUN echo "load_module modules/ngx_http_headers_more_filter_module.so;" > /etc/nginx/conf.d/modules.conf

首先，我创建一个 Nginx 容器，其中包含 Nginx 压缩包和编译模块的构建工具。然后，第二个阶段是使用预构建的 Nginx 镜像，将编译好的资源从构建器容器复制到预构建的 Nginx 容器中。

从 NGINX 1.9.11 开始，可以将该模块编译为动态模块，使用 --add-dynamic-module=PATH 选项，你可以在 nginx.conf 中通过 load_module 指令显式加载该模块，使用到的 nginx.conf 内容如下：

load_module modules/ngx_http_headers_more_filter_module.so;
user  nginx;
worker_processes  auto;

error_log  /var/log/nginx/error.log notice;
pid        /var/run/nginx.pid;


events {
    worker_connections  1024;
}


http {
    include       /etc/nginx/mime.types;
    default_type  application/octet-stream;

    more_clear_headers 'Server';

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    access_log  /var/log/nginx/access.log  main;

    sendfile        on;
    #tcp_nopush     on;

    keepalive_timeout  65;

    #gzip  on;

    include /etc/nginx/conf.d/*.conf;
}