如何配置 Web 服务器防范针对 Web 应用部署链路的信息泄露攻击指南-安全-PHP中文网

防范部署链路信息泄露的关键在于切断攻击者从公开响应中拼凑技术栈、路径、配置或运行时环境的线索，需通过关闭调试输出、清理响应头、限制敏感路径、启用waf防泄露规则等全链路措施实现主动防护。

如何配置 web 服务器防范针对 web 应用部署链路的信息泄露攻击指南

防范部署链路的信息泄露，关键在于切断攻击者从公开响应中拼凑技术栈、路径、配置或运行时环境的线索。这类泄露往往不直接导致入侵，但会显著降低后续攻击门槛——比如通过错误页面暴露Spring Boot Actuator端点，或HTTP头泄露Apache 2.4.52版本，再结合已知漏洞发起精准打击。

关闭调试与详细错误输出

生产环境必须禁用任何可向浏览器返回堆栈、SQL语句、文件路径或系统变量的错误响应。

ASP.NET：在Web.config中启用<customerrors mode="On" defaultredirect="error.html"></customerrors>，并确保debug="false"
Java（Tomcat + Spring Boot）：设置server.error.include-message=never和server.error.include-stacktrace=never；禁用Actuator的敏感端点，如management.endpoints.web.exposure.include=health,info，绝不可设为*
PHP：将display_errors = Off、log_errors = On写入php.ini，错误日志仅存服务器本地且权限设为600
Apache/Nginx：全局关闭ServerSignature Off和ServerTokens Prod，避免在响应头中暴露软件名与版本

清理响应头与服务标识

默认HTTP头是信息泄露的重灾区，需主动精简或覆写。

nginx-0.5.38

Nginx是一款高性能的开源软件，由俄罗斯开发者Igor Sysoev于2004年创建。它最初设计为高效的HTTP Web服务器，现已成为最受欢迎的Web服务器之一。Nginx以事件驱动、非阻塞I/O架构著称，能以极低内存占用处理数万并发连接，特别适合高流量场景。它同时担任反向代理、负载均衡器、HTTP缓存、TCP/UDP代理等多重角色，常用于静态文件服务、SSL终止、请求转发、API网关和微服务

下载

移除Server头：Apache用mod_headers配合Header unset Server；Nginx在server块中加server_tokens off;并用more_clear_headers "Server";（需headers-more-nginx-module）
隐藏X-Powered-By：PHP中设expose_php = Off；Spring Boot中添加server.http2.enabled=false并禁用spring-boot-starter-webflux相关自动头注入
禁用X-AspNet-Version等框架特有头：IIS中用URLScan或<httpprotocol><customheaders><remove name="X-AspNet-Version"></remove></customheaders></httpprotocol>

限制敏感路径与接口暴露

部署链路常包含未清理的测试目录、备份文件、监控接口或CI/CD残留路径，这些是自动化扫描器的首要目标。

禁止访问.git/、.env、backup.zip、config.php.bak等常见敏感路径：Apache中用<filesmatch>Require all denied</filesmatch>；Nginx中用location ~* \.(env|git|bak|log)$ { deny all; }
收敛Actuator、Prometheus、Swagger等管理端点：仅允许内网IP或特定白名单地址访问，如Nginx中location /actuator/ { allow 10.0.0.0/8; deny all; }
删除部署包中自带的/docs、/test、/install等目录，或在WAF层统一拦截含这些路径的请求