Hapus Server Response Header IIS7

Apakah ada cara untuk menghapus header respons "Server" dari IIS7? Ada beberapa artikel yang menunjukkan bahwa menggunakan HttpModules kita dapat mencapai hal yang sama. Ini akan membantu jika kita tidak memiliki hak admin ke server. Juga saya tidak ingin menulis filter ISAPI.

Saya memiliki hak admin ke server saya. Jadi saya tidak ingin melakukan hal-hal di atas. Jadi, tolong bantu saya melakukan hal yang sama.

Tambahkan ini ke global.asax.cs Anda:

protected void Application_PreSendRequestHeaders()
{
    Response.Headers.Remove("Server");
    Response.Headers.Remove("X-AspNet-Version");
    Response.Headers.Remove("X-AspNetMvc-Version");
}

Di IIS7 Anda harus menggunakan modul HTTP. Bangun berikut ini sebagai perpustakaan kelas di VS:

namespace StrongNamespace.HttpModules
{
  public class CustomHeaderModule : IHttpModule
  { 
    public void Init(HttpApplication context)
    {
      context.PreSendRequestHeaders += OnPreSendRequestHeaders;
    } 

    public void Dispose() { } 

    void OnPreSendRequestHeaders(object sender, EventArgs e)
    {
      HttpContext.Current.Response.Headers.Set("Server", "Box of Bolts");
    }
  }
}

Kemudian tambahkan berikut ini ke web.config Anda, atau Anda mengkonfigurasinya dalam IIS (jika Anda mengkonfigurasi dalam IIS, rakitan harus berada di GAC).

<configuration>
  <system.webServer>
    <modules>
      <add name="CustomHeaderModule"
       type="StrongNamespace.HttpModules.CustomHeaderModule" />
    </modules>
  </system.webServer>
</configuration>

Dengan mengaktifkan URL Rewrite Module Version 2.0 for IIS (UrlRewrite), di bagian konfigurasi <configuration>➡ <system.webServer>➡ <rewrite>tambahkan aturan keluar:

<outboundRules>
  <rule name="Remove RESPONSE_Server" >
    <match serverVariable="RESPONSE_Server" pattern=".+" />
    <action type="Rewrite" value="" />
  </rule>
</outboundRules>

Scott Mitchell memberikan solusi dalam posting blog untuk menghapus header yang tidak perlu .

Seperti yang telah dikatakan di sini di jawaban lain, untuk Serverheader, ada solusi modul http , atau solusi web.config untuk IIS 10+ , atau Anda dapat menggunakan URLRewrite sebagai gantinya untuk mengosongkannya .

Solusi paling praktis untuk penyiapan terkini (IIS 10 +) menggunakan removeServerHeaderdi web.config:

<system.webServer>
  ...
  <security>
    <requestFiltering removeServerHeader="true" />
  </security>
  ...
</system.webServer>

Untuk X-AspNet-Versiondan X-AspNetMvc-Version, ia memberikan cara yang lebih baik daripada menghapusnya di setiap respons: sama sekali tidak membuatnya sama sekali.

Gunakan enableVersionHeaderuntuk menonaktifkan X-AspNet-Version, di web.config

<system.web>
  ...
  <httpRuntime enableVersionHeader="false" />
  ...
</system.web>

Gunakan MvcHandler.DisableMvcResponseHeaderdalam acara .Net Application_Start untuk menonaktifkanX-AspNetMvc-Version

MvcHandler.DisableMvcResponseHeader = true;

Dan terakhir, hapus dalam konfigurasi IIS X-Powered-Byheader kustom di web.config.

<system.webServer>
  ...
  <httpProtocol>
    <customHeaders>
      <remove name="X-Powered-By" />
    </customHeaders>
  </httpProtocol>
  ...
</system.webServer>

Hati-hati, jika Anda memiliki ARR (Application Request Routing), itu juga akan menambahkan miliknya sendiri X-Powered-By, yang tidak akan dihapus oleh pengaturan tajuk khusus. Yang ini harus dihapus melalui Manajer IIS, konfigurasi Editor pada akar IIS (bukan di situs): buka system.webServer/proxynode dan setel arrResponseHeaderke false. Setelah IISResetitu, itu diperhitungkan.
(Saya telah menemukan yang ini di sini , kecuali posting ini tentang cara lama IIS 6.0 untuk mengkonfigurasi berbagai hal.)

Jangan lupa bahwa solusi dengan kode aplikasi tidak berlaku secara default untuk header yang dihasilkan pada konten statis (Anda dapat mengaktifkan runAllManagedModulesForAllRequestsuntuk mengubahnya, tetapi itu menyebabkan semua permintaan untuk menjalankan pipeline .Net). Ini bukan masalah X-AspNetMvc-Versionkarena tidak ditambahkan pada konten statis (setidaknya jika permintaan statis tidak dijalankan di pipeline .Net).

Catatan tambahan: ketika tujuannya adalah untuk menyelubungi teknologi yang digunakan, Anda juga harus mengubah nama cookie .Net standar ( .ASPXAUTHjika formulir auth diaktifkan (gunakan nameatribut pada formstag di web.config), ASP.NET_SessionId(gunakan <sessionState cookieName="yourName" />di web.config di bawah system.webtag), __RequestVerificationToken(ubah itu dengan kode dengan AntiForgeryConfig.CookieName, tapi sayangnya tidak berlaku untuk input tersembunyi yang dihasilkan sistem ini di html)).

Sebenarnya modul berkode dan contoh Global.asax yang ditunjukkan di atas hanya berfungsi untuk permintaan yang valid.

Misalnya, tambahkan <di akhir URL Anda dan Anda akan mendapatkan halaman "Permintaan buruk" yang masih memperlihatkan header server. Banyak pengembang mengabaikan ini.

Pengaturan registri yang ditampilkan juga tidak berfungsi. URLScan adalah satu-satunya cara untuk menghapus header "server" (setidaknya di IIS 7.5).

Atau tambahkan web.config:

<system.webServer>
    <httpProtocol>
        <customHeaders>
            <remove name="X-AspNet-Version" />
            <remove name="X-AspNetMvc-Version" />
            <remove name="X-Powered-By" />
            <!-- <remove name="Server" />  this one doesn't work -->
        </customHeaders>
    </httpProtocol>
</system.webServer>

web.configPenataan ini berfungsi untuk menghapus semua header yang tidak perlu dari respons ASP.NET (setidaknya mulai dari IIS 10):

<!--Removes version headers from response -->
<httpRuntime enableVersionHeader="false" />

<httpProtocol>
  <customHeaders>
    <!--Removes X-Powered-By header from response -->
    <clear />
  </customHeaders>
</httpProtocol>

<security>
  <!--Removes Server header from response-->
  <requestFiltering removeServerHeader ="true" />
</security>

Harap dicatat bahwa ini menyembunyikan semua header untuk "aplikasi", seperti halnya semua pendekatan lainnya. Jika Anda misalnya mencapai beberapa halaman default atau halaman kesalahan yang dihasilkan oleh IIS itu sendiri atau ASP.NET di luar aplikasi Anda, aturan ini tidak akan berlaku. Jadi idealnya mereka harus berada di tingkat akar di IIS dan ambang itu mungkin meninggalkan beberapa tanggapan kesalahan ke IIS itu sendiri.

PS Ada bug di IIS 10 yang membuatnya terkadang menampilkan header server bahkan dengan konfigurasi yang benar. Ini harus diperbaiki sekarang, tetapi IIS / Windows harus diperbarui.

Selain jawaban Penulisan Ulang URL , berikut adalah XML lengkap untukweb.config

<system.webServer>
  <rewrite>
    <outboundRules>
      <rule name="Remove RESPONSE_Server" >
        <match serverVariable="RESPONSE_Server" pattern=".+" />
        <action type="Rewrite" value="Company name" />
      </rule>
    </outboundRules>
  </rewrite>
</system.webServer>

Penulisan Ulang URL

Untuk menghapus Server:tajuk, buka Global.asax, temukan / buat Application_PreSendRequestHeadersacara dan tambahkan baris sebagai berikut (terima kasih kepada BK dan blog ini juga tidak akan gagal di Cassini / pengembang lokal):

protected void Application_PreSendRequestHeaders(object sender, EventArgs e)
{
    // Remove the "Server" HTTP Header from response
    HttpApplication app = sender as HttpApplication;
    if (null != app && null != app.Request && !app.Request.IsLocal &&
        null != app.Context && null != app.Context.Response)
    {
        NameValueCollection headers = app.Context.Response.Headers;
        if (null != headers)
        {
            headers.Remove("Server");
        }
    }
}

Jika Anda menginginkan solusi lengkap untuk menghapus semua tajuk terkait di Azure / IIS7 dan juga berfungsi dengan Cassini, lihat tautan ini , yang menunjukkan cara terbaik untuk menonaktifkan tajuk ini tanpa menggunakan HttpModules atau URLScan.

Jika Anda hanya ingin menghapus header, Anda dapat menggunakan versi singkat dari jawaban lukiffer:

using System.Web;

namespace Site
{
    public sealed class HideServerHeaderModule : IHttpModule
    {
        public void Dispose() { }

        public void Init(HttpApplication context)
        {
            context.PreSendRequestHeaders +=
            (sender, e) => HttpContext.Current.Response.Headers.Remove("Server");
        }
    }
}

Lalu di Web.config:

<system.webServer>
  <modules runAllManagedModulesForAllRequests="true">
    <add name="CustomHeaderModule" type="Site.HideServerHeaderModule" />
  </modules>
</system.webServer>

Coba tetapkan HKLM\SYSTEM\CurrentControlSet\Services\HTTP\Parameters\DisableServerHeaderentri registri ke REG_DWORDdari 1.

UrlScan juga dapat menghapus header server dengan menggunakan AlternateServerName=under [options].

Menindaklanjuti jawaban eddiegroves , tergantung pada versi URLScan, Anda mungkin lebih memilih di RemoveServerHeader=1bawah [options].

Saya tidak yakin di versi mana dari URLScan opsi ini ditambahkan, tetapi telah tersedia di versi 2.5 dan yang lebih baru.

Saya menemukan artikel yang menjelaskan mengapa kita perlu melakukan edit Registry dan menggunakan alat seperti UrlScan untuk mengaturnya di IIS dengan benar. Saya mengikutinya di server kami dan berhasil: http://blogs.msdn.com/b/varunm/archive/2013/04/23/remove-unwanted-http-response-headers.aspx . Jika Anda hanya menggunakan UrlScan tetapi tidak melakukan perubahan registri, selama Anda menghentikan World Wide Publishing Service, server Anda akan mengembalikan respons http server dari file HTTP.sys. Selain itu, berikut adalah kesalahan umum dalam menggunakan alat UrlScan: http://msdn.microsoft.com/en-us/library/ff648552.aspx#ht_urlscan_008

Di IIS 10, kami menggunakan solusi yang mirip dengan pendekatan Drew, yaitu:

using System;
using System.Web;

namespace Common.Web.Modules.Http
{
    /// <summary>
    /// Sets custom headers in all requests (e.g. "Server" header) or simply remove some.
    /// </summary>
    public class CustomHeaderModule : IHttpModule
    {
        public void Init(HttpApplication context)
        {
            context.PreSendRequestHeaders += OnPreSendRequestHeaders;
        }

        public void Dispose() { }

        /// <summary>
        /// Event handler that implements the desired behavior for the PreSendRequestHeaders event,
        /// that occurs just before ASP.NET sends HTTP headers to the client.
        /// 
        /// </summary>
        /// <param name="sender"></param>
        /// <param name="e"></param>
        void OnPreSendRequestHeaders(object sender, EventArgs e)
        {
            //HttpContext.Current.Response.Headers.Remove("Server");
            HttpContext.Current.Response.Headers.Set("Server", "MyServer");
        }
    }
}

Dan tentu saja tambahkan referensi ke dll itu di proyek Anda dan juga modul di konfigurasi yang Anda inginkan:

<system.webServer>
    <modules>
      <!--Use http module to remove/customize IIS "Server" header-->
      <add name="CustomHeaderModule" type="Common.Web.Modules.Http.CustomHeaderModule" />
    </modules>
</system.webServer>

CATATAN PENTING 1: Solusi ini memerlukan kumpulan aplikasi yang ditetapkan sebagai terintegrasi;

CATATAN PENTING2: Semua tanggapan dalam aplikasi web akan terpengaruh oleh ini (termasuk css dan js);

Saya telah meneliti ini dan metode URLRewrite berfungsi dengan baik. Tidak dapat menemukan perubahan yang dituliskan di mana pun dengan baik. Saya menulis ini kompatibel dengan PowerShell v2 dan yang lebih baru dan mengujinya di IIS 7.5.

# Add Allowed Server Variable
    Add-WebConfiguration /system.webServer/rewrite/allowedServerVariables -atIndex 0 -value @{name="RESPONSE_SERVER"}
# Rule Name
    $ruleName = "Remove Server Response Header"
# Add outbound IIS Rewrite Rule
    Add-WebConfigurationProperty -pspath "iis:\" -filter "system.webServer/rewrite/outboundrules" -name "." -value @{name=$ruleName; stopProcessing='False'}
#Set Properties of newly created outbound rule 
    Set-WebConfigurationProperty -pspath "MACHINE/WEBROOT/APPHOST"  -filter "system.webServer/rewrite/outboundRules/rule[@name='$ruleName']/match" -name "serverVariable" -value "RESPONSE_SERVER"
    Set-WebConfigurationProperty -pspath "MACHINE/WEBROOT/APPHOST"  -filter "system.webServer/rewrite/outboundRules/rule[@name='$ruleName']/match" -name "pattern" -value ".*"
    Set-WebConfigurationProperty -pspath "MACHINE/WEBROOT/APPHOST"  -filter "system.webServer/rewrite/outboundRules/rule[@name='$ruleName']/action" -name "type" -value "Rewrite"

Anda dapat menambahkan kode di bawah ini di file Global.asax.cs

    protected void Application_PreSendRequestHeaders()
    {
        Response.Headers.Remove("Server");
    }

Solusi yang diusulkan di atas dalam kombinasi bekerja untuk saya dengan perubahan berikut. Di sini saya memposting skenario dan solusi saya.

Bagi saya, saya ingin menghapus header berikut:

• Server
• X-Powered-By
• X-AspNet-Version
• X-AspNetMvc-Version

Saya menambahkan ini ke global.asax saya:

<%@ Application Language="C#" %>
<script runat="server">
    protected void Application_PreSendRequestHeaders()
    {
        Response.Headers.Remove("Server");
        Response.Headers.Remove("X-Powered-By");
        Response.Headers.Remove("X-AspNet-Version");
        Response.Headers.Remove("X-AspNetMvc-Version");
    }
</script>

Acara di atas tidak dipicu, jadi untuk itu saya menambahkan berikut ke web.config agar berfungsi.

<modules runAllManagedModulesForAllRequests="true" />

dan untuk menghapus versi header saya juga menambahkan berikut ini ke web.config:

<httpRuntime enableVersionHeader="false" />

Perubahan di web.config:

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <modules runAllManagedModulesForAllRequests="true" />
    </system.webServer>
    <system.web>
        <httpRuntime enableVersionHeader="false" />
    </system.web>
</configuration>

Semoga membantu!

Saya mencoba semua hal di sini dan di beberapa utas tumpukan overflow serupa lainnya.

Saya terputus sebentar karena saya lupa menghapus cache browser saya setelah melakukan perubahan konfigurasi. Jika Anda tidak melakukannya dan file tersebut ada di cache lokal Anda, ini akan menyajikannya kembali kepada Anda dengan header asli (duh).

Saya mendapatkannya sebagian besar bekerja dengan menghapus runAllManagedModulesForAllRequests:

<modules runAllManagedModulesForAllRequests="true">

Tindakan ini menghapus header asing dari sebagian besar file statis, tetapi saya masih mendapatkan header "Server" pada beberapa file statis di proyek WebAPI saya secara berlebihan.

Saya akhirnya menemukan dan menerapkan solusi ini dan sekarang semua header yang tidak diinginkan hilang:

https://www.dionach.com/blog/easily-remove-unwanted-http-headers-in-iis-70-to-85

yang membahas kodenya yang ada di sini:

https://github.com/Dionach/StripHeaders/releases/tag/v1.0.5

Ini adalah modul Native-Code. Itu dapat menghapus header Server, tidak hanya mengosongkan nilainya. Secara default menghapus:

• Server
• X-Powered-By
• Versi X-Aspnet
• Server: Microsoft-HTTPAPI / 2.0 - yang akan dikembalikan jika "permintaan gagal diteruskan ke IIS"

IIS 7.5 dan kemungkinan versi yang lebih baru memiliki teks header yang disimpan iiscore.dll

Dengan menggunakan hex editor, temukan string dan kata "Server" 53 65 72 76 65 72setelahnya dan ganti dengan byte nol. Di IIS 7.5 terlihat seperti ini:

4D 69 63 72 6F 73 6F 66 74 2D 49 49 53 2F 37 2E 35 00 00 00 53 65 72 76 65 72 

Tidak seperti beberapa metode lain, hal ini tidak mengakibatkan penalti kinerja. Header juga dihapus dari semua permintaan, bahkan kesalahan internal.