Bon ... je ne pense pas que ce soit un vrai serveur web (quoique !?), mais juste un maquillage pour plusieurs raisons :

  • Ce sont des guiques, ça les fait triper
  • Dérouter Jean-Kévin qui vient de trouver un rootkit qu'il viendrait de découvrir
  • Eviter les attaques visant un serveur web ou une version d'un serveur web bien spécifiques ...

Forcément ça m'a donné une idée : JE VEUX FAIRE PAREIL A LA MAISON !!! :'( Chez Apache la directive ServerTokens peut prendre plusieurs valeurs pour afficher différents niveaux de détails sur la configuration utilisée. Voici quelques exemples :

Server: Apache
Server: Apache/1.3.0
Server: Apache/1.3.0 (Unix)
Server: Apache/1.3.0 (Unix) PHP/3.0 MyMod/1.2

Malheureusement, on ne peut pas aller beaucoup plus loin dans la customisation de la chose depuis la configuration d'Apache.

Un petit tour dans les sources s'impose donc et au renfort de quelques grep -r bien sentis, on trouve la variable à modifier !! (qui diffère selon la version)

Apache 1.3.35:
    src/include/httpd.h:
    ====================
    - #define SERVER_BASEPRODUCT "Apache"
    + #define SERVER_BASEPRODUCT "un truc a la con"
Apache 2.2.2:
    include/ap_release.h:
    =====================
    - #define AP_SERVER_BASEPRODUCT "Apache"
    + #define AP_SERVER_BASEPRODUCT "un truc a la con"

On recompile, on réintalle,on va rajouter la directive ServerTokens Prod dans le fichier httpd.conf, on redémarre le serveur et voilà :

Response Headers - http://www.ploup.net/

Date: Thu, 18 May 2006 14:51:25 GMT
Server: VIEILLE BROUETTE BRANLANTE/0.4.51 (Poclain tueuse) TRACTOPELLE AUTOROTATIF/56.44.289431
X-Powered-By: PHP/4.4.2
Content-Type: text/html

200 OK


Et là, c'est le drame !!! :-( y'a un vieux X-Powered-By: PHP/4.4.2 qui nous pollue notre zouli serveur masqué !! Ca se trouve cette fois-ci du côté des sources de PHP.

Et ceci devrait être suffisant :

main/SAPI.h:
============
    - #define SAPI_PHP_VERSION_HEADER   "X-Powered-By: PHP/" PHP_VERSION
    + #define SAPI_PHP_VERSION_HEADER   "X-Powered-By: Broute-moi-la-mais-pas-trop 69.69"

Voici ce que ça donne à la fin :

Response Headers - http://www.ploup.net/

Date: Thu, 18 May 2006 15:54:21 GMT
Server: VIEILLE BROUETTE BRANLANTE/0.4.51 (Poclain tueuse) TRACTOPELLE AUTOROTATIF/56.44.289431
X-Powered-By: Broute-moi-la-mais-pas-trop 69.69
Content-Type: text/html
X-Cache: MISS from pbx.qualigaz.com
Proxy-Connection: close 

200 OK

C'est tout pour aujourd'hui. Have fun les amis ! :)