ASP.NET MVC 在 IIS 7.5 中移除多余的响应头

原文链接:https://www.jianshu.com/p/f94f891e6feb


IIS 会在响应头(Response Header)中添加一些并没有太多实际用处的响应头,在项目中移除常见的几个响应头方法如下(主要涉及两个文件,web.config 和 Global.asax.cs):

在 web.config 中,可移除以下几个:

  • X-AspNet-Version
  • X-Powered-By

定位到 ,找到 ,修改为如下内容:

<system.web>
    

    
    <httpRuntime targetFramework="4.6.2" enableVersionHeader="false" />

system.web>

定位到 ,增加如下内容:

<system.webServer>
    

    <httpProtocol>
        <customHeaders>
            
            <clear />
            
            <add name="X-Powered-By" value="aaa.com" />
        customHeaders>
    httpProtocol>

system.webServer>

在 Global.asax.cs 中,可移除以下几个:

  • X-AspNetMvc-Version
  • Server (有几种方法移除 Header 中的 Server)

定位到 Application_Start,增加以下内容:

void Application_Start(object sender, EventArgs e)
{
    // 其它内容

    // 移除 X-AspNetMvc-Version
    MvcHandler.DisableMvcResponseHeader = true;
}

下面说说移除 Header 中的 Server 的方法:

第一种方法:在 Global.asax.cs 中,新增 Application_PreSendRequestHeaders 方法,并添加以下内容:

protected void Application_PreSendRequestHeaders(object sender, EventArgs e)
{
    var app = sender as HttpApplication;
    if (app == null || app.Context == null)
    {
        return;
    }

    // 移除 Server
    app.Context.Response.Headers.Remove("Server");
}

该方法适合 IIS 中没有安装 URL Rewrite 组件使用。

还有就是,如果在 IIS 中部署了一个提供文件的站点(如:file.aaa.com 等),在网站根目录下,只会有一个 web.config 文件,那么,上面通过 C# 代码方式移除 Server 的方法就不太适用。针对这样的情况,建议采用以下第二种方法。

第二种方法:在 IIS 中安装 URL Rewrite 组件,就不用写上述的 C# 代码了,直接在 web.config 中,添加 rewrite 的配置就可以了。

至于怎么安装 URL Rewrite 组件,有以下两种方法:

  • 可以从微软官方下载(支持 IIS 7 以及之后的版本)
  • 可以在 IIS 中使用 Web 平台安装器 进行安装

安装好 URL Rewrite 之后,个人建议重启服务器(不要仅仅只是重启 IIS)再进行配置。

在 web.config 中定位到 ,添加以下配置:

<system.webServer>
    

    
    <rewrite>
        <outboundRules>
            <rule name="RemoveHeader" patternSyntax="Wildcard">
                <match serverVariable="RESPONSE_SERVER" pattern="*" />
                <action type="Rewrite" value="aaa.com" />
            rule>
        outboundRules>
    rewrite>

system.webServer>

该方法比较通用,推荐使用。

该方法有一个弊端:不能彻底将 Server 从 Header 中删除,只是重写了它的值。所以,即使将上面内容中 action 后面的 value 设置为空,任然会有 Server 在 Header 中,其值也同样为空。

第三种方法:安装 URL Scan 组件,直接在其中去配置。

URL Scan 组件可以从微软官方下载到,但仅支持 IIS 7 以前的版本。

安装好以后(重启服务器),在安装目录(一般来说,是:C:\Windows\System32\inetsrv\urlscan\\)下面找到 urlScan.ini 文件。

用文本编辑器打开它,然后定位到 RemoveServerHeader,并将其值设为 1 即可。

当然,你也可以修改服务器名称,找到 AlternateServerName,在后面填上你指定的名称(如:aaa.com)即可。

第四种方法:国外有一个 IIS 的扩展程序(C++ 写的),叫:StripHeaders,据该 Github 页介绍:可将 Header 中的任意内容移除。

但是,下载安装后,测试了 N 次(包括普通安装后重启服务器、停止 HTTP 服务后再安装再重启、……),都没能成功,遂弃之不用。有需要的朋友可自行去了解。

注意:停止 HTTP 服务会引起很多系统依赖它的服务跟着一起停止,一定要记录好 HTTP 服务停止之前,这些系统服务的状态,以免服务器出现奇奇怪怪的故障。以下是停止 HTTP 服务的命令:

net stop http
停止 HTTP 服务 开始

停止 HTTP 服务 成功

至此,IIS 的响应头内的多余内容全部移除干净。



作者:缺水的海豚
链接:https://www.jianshu.com/p/f94f891e6feb
來源:简书
简书著作权归作者所有,任何形式的转载都请联系作者获得授权

你可能感兴趣的:(Web安全)