如何在 Wappalyzer 中隐藏 PHP 信息？

2024-07-23 14:32:48

运营着基于 PHP 的网站，却对网站信息安全忧心忡忡？ Wappalyzer 等网站技术分析工具可以轻松识别网站使用的技术，包括 PHP 版本，这无疑会暴露潜在的安全风险。

本文将带你深入了解如何在 Wappalyzer 中隐藏 PHP 信息，为你的网站安全保驾护航。

在着手解决问题之前，我们先来了解一下 Wappalyzer 识别 PHP 的原理。Wappalyzer 并非魔法，它也需要依据来进行判断。

Wappalyzer 主要通过分析网站返回的 HTTP 头信息、HTML 源代码、JavaScript 文件等多种特征来识别网站所使用的技术。对于 PHP，Wappalyzer 尤其关注以下线索：

HTTP 头信息中的 X-Powered-By 字段 : 许多 Web 服务器默认会在 HTTP 响应头中添加 X-Powered-By: PHP/版本号 信息，如同“自报家门”一般，直接暴露了 PHP 版本。
特定文件扩展名 : .php, .php3, .php4, .php5 等文件扩展名是 PHP 文件的典型特征，一旦被 Wappalyzer 发现，便能推测出网站使用了 PHP。
特定 Cookie 名称 : 默认情况下，PHP 会使用 PHPSESSID 作为会话 Cookie 的名称，这成为了 Wappalyzer 判断网站是否使用 PHP 的又一个依据。
框架特征 : 许多 PHP 框架，如 Yii、Laravel 等，会在页面中留下独特的标识，如同“指纹”一样，Wappalyzer 可以据此识别出网站所使用的 PHP 框架。

想要在 Wappalyzer 面前隐藏 PHP 信息，并非单一方法就能奏效，我们需要采取一系列措施，才能达到理想效果：

从源头入手：禁用 expose_php 配置

expose_php 是 PHP 配置文件 php.ini 中的一个指令，用于控制是否在 HTTP 头信息中暴露 PHP 信息。

默认情况下，expose_php 被设置为 On，如同敞开大门，允许暴露 PHP 信息。你需要将其设置为 Off 来禁用该功能，如同关上大门，阻止信息泄露：
```
expose_php = Off
```
修改 php.ini 文件后，记得重启 Web 服务器使配置生效，如同重启电脑让设置生效一样。
斩草除根：删除 X-Powered-By 头信息

即使禁用了 expose_php，一些 Web 服务器软件（如 Apache）仍然可能会“固执地”添加 X-Powered-By 头信息。

此时，我们需要“对症下药”，通过配置 Web 服务器来删除或修改 X-Powered-By 头信息。例如，在 Apache 中，你可以使用 Header 指令来实现：
```
Header unset X-Powered-By
```
这行配置如同“橡皮擦”一般，会删除所有 X-Powered-By 头信息。你也可以将其设置为其他值来伪装服务器信息，如同“变色龙”一样，迷惑 Wappalyzer 的判断。
改头换面：修改默认会话 Cookie 名称

PHPSESSID 作为 PHP 默认的会话 Cookie 名称，如同一个“公开的秘密”，很容易被 Wappalyzer 识别。

我们可以通过修改 session.name 配置指令来更改它，如同“改名换姓”一样：

session_name('YOUR_CUSTOM_SESSION_NAME');

将 YOUR_CUSTOM_SESSION_NAME 替换为你想要的名称即可，如同拥有了一个新的名字。请确保在所有使用会话的 PHP 文件中都进行此项修改，确保“新身份”的一致性。

“隐姓埋名”：隐藏或混淆框架特征

许多 PHP 框架都提供了隐藏或自定义框架标识的方法，如同“乔装打扮”一样，隐藏自己的真实身份。例如，在 Yii2 中，你可以通过配置组件来修改默认的 Cookie 名称：
```
'request' => [
    'cookieValidationKey' => 'your-secret-key',
    'csrfParam' => '_your-custom-csrf-param',
],
'session' => [
    'name' => 'YOUR_CUSTOM_SESSION_NAME',
],
```
请参考你所使用的框架的官方文档，了解如何隐藏或自定义框架特征，如同学习“伪装术”一样。
“金蝉脱壳”：使用反向代理

反向代理服务器可以作为你的网站和客户端之间的中间层，如同一个“替身”一样，隐藏真实服务器的信息。Nginx 和 Varnish 都是流行的反向代理服务器软件。

通过配置反向代理，你可以修改 HTTP 头信息，隐藏真实服务器使用的技术，如同“障眼法”一样，从而保护网站信息安全。