Menghapus / Menyembunyikan / Menonaktifkan header respons HTTP yang berlebihan di Azure / IIS7 tanpa UrlScan

Saya perlu menghapus header yang berlebihan (terutama untuk lulus pengujian penetrasi). Saya telah menghabiskan waktu mencari solusi yang melibatkan menjalankan UrlScan, tetapi ini rumit karena UrlScan perlu diinstal setiap kali instans Azure dimulai .

Harus ada solusi yang baik untuk Azure yang tidak melibatkan penerapan penginstal dari startup.cmd.

Saya memahami bahwa tajuk tanggapan ditambahkan di tempat yang berbeda :

• Server : ditambahkan oleh IIS.
• X-AspNet-Version : ditambahkan oleh System.Web.dll pada saat Flush di kelas HttpResponse
• X-AspNetMvc-Version : Ditambahkan oleh MvcHandler di System.Web.dll.
• X-Powered-By : ditambahkan oleh IIS

Apakah ada cara untuk mengkonfigurasi (melalui web.config dll.?) IIS7 untuk menghapus / menyembunyikan / menonaktifkan header tanggapan HTTP untuk menghindari peringatan "Header yang Berlebihan" di asafaweb.com , tanpa membuat modul IIS atau menerapkan penginstal yang perlu dijalankan setiap kali instans Azure dimulai?

Perubahan berikut memungkinkan Anda untuk menghapus header respons HTTP ini di Azure tanpa menulis HttpModule kustom.

Sebagian besar informasi di internet sudah kedaluwarsa, dan melibatkan UrlScan (yang sejak itu telah diintegrasikan ke dalam IIS7, tetapi dengan RemoveServerHeader=1opsi dihapus). Berikut adalah solusi rapi saya telah menemukan (terima kasih kepada blog ini , jawaban ini , dan blog ini dikombinasikan).

Untuk menghapus Server , buka Global.asax, temukan / buat Application_PreSendRequestHeadersacara dan tambahkan yang berikut ini (terima kasih kepada BK dan blog ini juga tidak akan gagal di Cassini / local dev):

Diedit April 2014: Anda dapat menggunakan kejadian PreSendRequestHeaders dan PreSendRequestContext dengan modul IIS asli, tetapi jangan menggunakannya dengan modul terkelola yang mengimplementasikan IHttpModule. Menyetel properti ini dapat menyebabkan masalah dengan permintaan asinkron . Versi yang benar adalah menggunakan acara BeginRequest.

    protected void Application_BeginRequest(object sender, EventArgs e)
    {
        var application = sender as HttpApplication;
        if (application != null && application.Context != null)
        {
            application.Context.Response.Headers.Remove("Server");
        }
    }

Untuk menghapus X-AspNet-Version , di web.config temukan / buat <system.web>dan tambahkan:

  <system.web>
    <httpRuntime enableVersionHeader="false" />

    ...

Untuk menghapus X-AspNetMvc-Version , buka Global.asax, temukan / buat Application_Startacara dan tambahkan baris sebagai berikut:

  protected void Application_Start()
  {
      MvcHandler.DisableMvcResponseHeader = true;
  }

Untuk menghapus X-Powered-By , di web.config temukan / buat <system.webServer>dan tambahkan:

  <system.webServer>
    <httpProtocol>
      <customHeaders>
        <remove name="X-Powered-By" />
      </customHeaders>
    </httpProtocol>

    ...

MSDN menerbitkan artikel ini tentang cara menyembunyikan tajuk di Situs Web Azure. Anda sekarang dapat menyembunyikan server dari web.config dengan menambahkan entri ke system.webServer

<security>
      <requestFiltering removeServerHeader ="true" />
</security>

VS akan mengerutkan kening di atas sebagai tidak valid. Tautan di atas memiliki kode sebagai foto, sulit ditemukan. Versi MVC masih tersembunyi di aplikasi start seperti di atas, sama untuk versi x-powered-by dan .Net.

Ada juga paket di NuGet yang membantu Anda mencapai ini melalui beberapa baris konfigurasi dan tidak ada perubahan pada kode: NWebsec. Dokumen tentang menghapus header versi dapat ditemukan di sini: https://github.com/NWebsec/NWebsec/wiki/Suppressing-version-headers

Ini didemonstrasikan di sini: http://www.nwebsec.com/HttpHeaders/VersionHeaders (di Azure)

Penafian: Saya adalah pengembang proyek.

Jawaban Nick Evans sempurna, tapi ...

Jika Anda menghapus header ini untuk tujuan keamanan , jangan lupa untuk mengubah ASP.NET Session coockie name! Karena lebih mudah menebak bahasa yang digunakan atau versi server jika Anda melihat ini:

Untuk mengubah nama cookie: (jadilah kreatif)

<system.web>
  <sessionState cookieName="PHPSESSID" />
</system.web>

Menggulung jawaban sebelumnya dari @ giveme5minutes dan @AKhooli karena terkait dengan Situs Web Azure ditambah beberapa item lain yang ingin dilihat pemindai, ini adalah perubahan yang saya buat untuk membuat ASafaWeb senang dengan situs Azure.

Itu masih mengeluh tentang cookie tajuk afinitas Azure yang tidak hanya https tetapi afinitas adalah jenis cookie yang ingin Anda putar ulang, bukan?

<system.web>
    <compilation debug="false">
    <httpRuntime enableVersionHeader="false" />
    <httpCookies httpOnlyCookies="true" requireSSL="true" />    
    <customErrors mode="RemoteOnly" defaultRedirect="~/Error.aspx" />
</system.web>

<system.webServer>
    <httpProtocol>
      <customHeaders>
        <add name="X-Frame-Options" value="DENY" />
        <remove name="X-Powered-By" />
      </customHeaders>
    </httpProtocol>
    <security>
      <!--removes Azure headers-->
      <requestFiltering removeServerHeader="true" />
    </security>
</system.webServer>