Server Antwort Header entfernen IIS7

Question

Gibt es eine Möglichkeit, "Server" Antwortheader von IIS7 zu entfernen? Es gibt einige Artikel, die zeigen, dass wir mit HttpModules dasselbe erreichen können. Dies ist hilfreich, wenn wir kein Administratorrecht für den Server haben. Außerdem möchte ich keinen ISAPI-Filter schreiben.

Ich habe Administratorrechte für meinen Server. Also möchte ich die obigen Sachen nicht machen. Also, bitte hilf mir, das Gleiche zu tun.

Answer 1

In IIS7 müssen Sie ein HTTP-Modul verwenden. Bauen Sie das folgende als eine Klassenbibliothek in VS:

namespace StrongNamespace.HttpModules 
{ 
    public class CustomHeaderModule : IHttpModule 
    { 
    public void Init(HttpApplication context) 
    { 
     context.PreSendRequestHeaders += OnPreSendRequestHeaders; 
    } 

    public void Dispose() { } 

    void OnPreSendRequestHeaders(object sender, EventArgs e) 
    { 
     HttpContext.Current.Response.Headers.Set("Server", "Box of Bolts"); 
    } 
    } 
} 

Dann folgendes zu Ihrer web.config hinzufügen, oder Sie konfigurieren es innerhalb IIS (wenn Sie in IIS konfigurieren, muss die Assembly im GAC sein).

<configuration> 
    <system.webServer> 
    <modules> 
     <add name="CustomHeaderModule" 
     type="StrongNamespace.HttpModules.CustomHeaderModule" /> 
    </modules> 
    </system.webServer> 
</configuration> 

Answer 2

UrlScan können auch den Server-Header entfernen, indem AlternateServerName= unter [options] verwenden.

Answer 3

Versuchen Sie, den Registrierungseintrag HKLM\SYSTEM\CurrentControlSet\Services\HTTP\Parameters\DisableServerHeader auf REG_DWORD von 1 zu setzen.

Answer 4

Wenn Sie nur den Header entfernen Sie eine verkürzte Version von lukiffer Antwort verwenden können:

using System.Web; 

namespace Site 
{ 
    public sealed class HideServerHeaderModule : IHttpModule 
    { 
     public void Dispose() { } 

     public void Init(HttpApplication context) 
     { 
      context.PreSendRequestHeaders += 
      (sender, e) => HttpContext.Current.Response.Headers.Remove("Server"); 
     } 
    } 
} 

Und dann in Web.config:

<system.webServer> 
    <modules runAllManagedModulesForAllRequests="true"> 
    <add name="CustomHeaderModule" type="Site.HideServerHeaderModule" /> 
    </modules> 
</system.webServer> 

Answer 5

auf eddiegroves' answer Anknüpfend, je nach Ausführung von URLScan können Sie stattdessen RemoveServerHeader=1 unter [options] bevorzugen.

Ich bin nicht sicher, in welcher Version von URLScan diese Option hinzugefügt wurde, aber es war in Version 2.5 und höher verfügbar.

Answer 6

Fügen Sie diese auf Ihre global.asax.cs:

protected void Application_PreSendRequestHeaders() 
{ 
    Response.Headers.Remove("Server"); 
    Response.Headers.Remove("X-AspNet-Version"); 
    Response.Headers.Remove("X-AspNetMvc-Version"); 
} 

Answer 7

verwenden, um die IIS UrlRewrite 2,0

<outboundRules> 
    <rule name="Remove RESPONSE_Server" > 
    <match serverVariable="RESPONSE_Server" pattern=".+" /> 
    <action type="Rewrite" value="" /> 
    </rule> 
</outboundRules> 

Answer 8

den Server: Header zu entfernen, gehen Sie zu Global.asax, finden/erstellen die Application_PreSendRequestHeaders Ereignis und fügen Sie eine Zeile wie folgt hinzu (dank BK und this blog wird dies auch beim Cassini/lokalen Entwickler nicht fehlschlagen):

protected void Application_PreSendRequestHeaders(object sender, EventArgs e) 
{ 
    // Remove the "Server" HTTP Header from response 
    HttpApplication app = sender as HttpApplication; 
    if (null != app && null != app.Request && !app.Request.IsLocal && 
     null != app.Context && null != app.Context.Response) 
    { 
     NameValueCollection headers = app.Context.Response.Headers; 
     if (null != headers) 
     { 
      headers.Remove("Server"); 
     } 
    } 
} 

Wenn Sie eine vollständige Lösung zum Entfernen aller verwandten Kopfzeilen in Azure/IIS7 benötigen und auch mit Cassini arbeiten möchten, finden Sie unter this link die beste Möglichkeit, diese Kopfzeilen ohne Verwendung von HttpModules oder URLScan zu deaktivieren.

Answer 9

Tatsächlich funktionieren die oben gezeigten codierten Module und die Global.asax-Beispiele nur für gültige Anforderungen.

Fügen Sie zum Beispiel < am Ende Ihrer URL hinzu und Sie erhalten eine Seite "Bad request", die immer noch den Server-Header offen legt. Viele Entwickler übersehen dies.

Die angezeigten Registrierungseinstellungen funktionieren auch nicht. URLScan ist die einzige Möglichkeit, den Header "Server" zu entfernen (zumindest in IIS 7.5).

Answer 10

Scott Mitchell bietet in einem Blogbeitrag Lösungen für removing unnecessary headers.

Wie bereits hier in anderen Antworten gesagt, gibt es für die Server Kopfzeile das http module solution oder das UrlScan Modul. (URLScan-Modul ist nicht mehr in IIS7.5 + verfügbar Verwenden URLRewrite instead for blanking it..)

Für X-AspNet-Version und X-AspNetMvc-Version, er bietet einen besseren Weg, als sie auf jeder Antwort zu entfernen: einfach nicht, sie überhaupt zu erzeugen.

Verwenden enableVersionHeader für X-AspNet-Version zu deaktivieren, in web.config

<httpRuntime enableVersionHeader="false" /> 

Verwenden MvcHandler.DisableMvcResponseHeader in Event .Net Application_Start für X-AspNetMvc-Version

MvcHandler.DisableMvcResponseHeader = true; 

deaktivieren und schließlich die X-Powered-By benutzerdefinierten Header in IIS-Konfiguration entfernen.

Vergessen Sie nicht, dass die Lösung nach Anwendungscode nicht standardmäßig auf Header auf statischen Inhalt (Sie können die runAllManagedModulesForAllRequests aktivieren, um das zu ändern, aber es bewirkt, dass alle Anfragen zu laufen. Net-Pipeline) gelten. Es ist kein Problem für X-AspNetMvc-Version, da es nicht auf statischen Inhalt hinzugefügt wird (zumindest wenn statische Anforderung nicht in .Net-Pipeline ausgeführt werden).

Randbemerkung: wenn das Ziel verwendete Technologie zum Tarnen ist, sollten Sie auch Standard-.Net-Cookie-Namen ändern (.ASPXAUTH wenn Formulare Auth aktiviert (Verwendung name Attribut auf forms Tag in web.config), ASP.NET_SessionId (verwenden <sessionState cookieName="yourName" /> in web .config unter system.web Tag), __RequestVerificationToken (ändern Sie es durch Code mit AntiForgeryConfig.CookieName, aber leider nicht für die versteckte Eingabe, die dieses System im HTML generiert)).

Answer 11

Oder in web.config hinzufügen:

<system.webServer> 
    <httpProtocol> 
     <customHeaders> 
      <remove name="X-AspNet-Version" /> 
      <remove name="X-AspNetMvc-Version" /> 
      <remove name="X-Powered-By" /> 
      <!-- <remove name="Server" /> this one doesn't work --> 
     </customHeaders> 
    </httpProtocol> 
</system.webServer> 

Answer 12

ich einen Artikel gefunden, der erklärt, warum wir beide Registry bearbeiten tun müssen, und ein Tool wie UrlScan verwenden diese ordnungsgemäß in IIS einzurichten. Ich habe es auf unseren Servern verfolgt und es funktioniert: http://blogs.msdn.com/b/varunm/archive/2013/04/23/remove-unwanted-http-response-headers.aspx. Wenn Sie nur UrlScan verwenden, die Registrierungsänderung jedoch nicht vornehmen, gibt der Server während der Zeit, in der Sie den WWW-Publishingdienst stoppen, die HTTP-Antwort des Servers aus der Datei HTTP.sys zurück. Auch hier sind gemeinsame pitfals der Verwendung von UrlScan-Tool: http://msdn.microsoft.com/en-us/library/ff648552.aspx#ht_urlscan_008

Answer 13

Ergänzung der URL Rewrite answer, hier ist die komplette XML für web.config

<system.webServer> 
    <rewrite> 
    <outboundRules> 
     <rule name="Remove RESPONSE_Server" > 
     <match serverVariable="RESPONSE_Server" pattern=".+" /> 
     <action type="Rewrite" value="Company name" /> 
     </rule> 
    </outboundRules> 
    </rewrite> 
</system.webServer> 

URL Rewrite

Answer 14

In IIS 10 verwenden wir eine ähnliche Lösung zu Drews Ansatz, d:

using System; 
using System.Web; 

namespace Common.Web.Modules.Http 
{ 
    /// <summary> 
    /// Sets custom headers in all requests (e.g. "Server" header) or simply remove some. 
    /// </summary> 
    public class CustomHeaderModule : IHttpModule 
    { 
     public void Init(HttpApplication context) 
     { 
      context.PreSendRequestHeaders += OnPreSendRequestHeaders; 
     } 

     public void Dispose() { } 

     /// <summary> 
     /// Event handler that implements the desired behavior for the PreSendRequestHeaders event, 
     /// that occurs just before ASP.NET sends HTTP headers to the client. 
     /// 
     /// </summary> 
     /// <param name="sender"></param> 
     /// <param name="e"></param> 
     void OnPreSendRequestHeaders(object sender, EventArgs e) 
     { 
      //HttpContext.Current.Response.Headers.Remove("Server"); 
      HttpContext.Current.Response.Headers.Set("Server", "MyServer"); 
     } 
    } 
} 

Und natürlich in der Config (n) Sie wollen eine Referenz auf diese DLL in Ihrem Projekt (en) und auch das Modul hinzufügen:

<system.webServer> 
 
    <modules> 
 
     <!--Use http module to remove/customize IIS "Server" header--> 
 
     <add name="CustomHeaderModule" type="Common.Web.Modules.Http.CustomHeaderModule" /> 
 
    </modules> 
 
</system.webServer>

WICHTIG NOTE1 : Diese Lösung benötigt einen Anwendungspool, der als integriert festgelegt ist.

WICHTIGER HINWEIS2: Alle Antworten innerhalb der Web-App sind davon betroffen (css und js enthalten);

Answer 15

Ich probierte alle Sachen hier und auf mehreren anderen ähnlichen Stack Overflow Threads.

Ich habe aufgelegt, weil ich vergessen habe, meinen Browser-Cache zu leeren, nachdem ich die Konfigurationsänderungen vorgenommen habe. Wenn Sie das nicht tun und die Datei sich in Ihrem lokalen Cache befindet, wird sie Ihnen mit den ursprünglichen Headern (duh) zugestellt.

Ich habe es vor allem von Arbeits die runAllManagedModulesForAllRequests Entfernung:

<modules runAllManagedModulesForAllRequests="true"> 

Dies entfernt die Fremd Header aus meisten der statischen Dateien, aber ich war immer noch den „Server“ Header auf einige statische Dateien bekommen in meinem WebAPI-Projekt in Swagger.

fand ich schließlich und wandte diese Lösung und jetzt alle der unerwünschten Header verschwunden sind:

https://www.dionach.com/blog/easily-remove-unwanted-http-headers-in-iis-70-to-85

die seinen Code diskutiert, die hier ist:

https://github.com/Dionach/StripHeaders/releases/tag/v1.0.5

Diese ist ein Native-Code-Modul. Es ist in der Lage zu den Server-Header zu entfernen, nicht nur den Wert zu leeren. Standardmäßig es entfernt:

• Server
• X-Powered-By
• X-Aspnet-Version
• Server: Microsoft-HTTPAPI/2.0 - was, wenn „die Anforderung zurückgegeben werden würde fehlschlägt bestanden IIS“