Como posso ocultar o que estou usando para executar meu site?

Existe algo que eu possa fazer para impedir que alguém saiba que meu site está usando o Drupal olhando o código fonte da primeira página? Refiro-me a pessoas que examinam sites usando software que detecta o software usado para executar o site para poder atacá-lo usando qualquer ponto fraco conhecido.

Se não for possível ocultar completamente o fato de o site estar usando o Drupal, é pelo menos possível confundi-los (por exemplo, usando o alias das páginas dos nós com URLs como http://example.com/servlets/<node-id>.jsp)?

Esta é uma pergunta antiga e já respondida, mas recentemente fiz um esforço para escrever uma descrição de todas as coisas que você precisaria alterar:

• Remova o meta gerador para Drupal 7
• Remova o texto avisado como CHANGELOG.txt
• Verifique o cabeçalho Expira
• Diretórios ambulantes para códigos de status HTTP 200/404/403
• Procure mensagens de texto padrão - ajuste todas as mensagens voltadas para o usuário
• Veja o HTML - o html padrão do núcleo e dos módulos é um sinal revelador

Basicamente: tecnicamente, é possível ocultar o fato de seu site executar o Drupal, mas você gastaria tanto tempo nele que não vale a pena. Em vez disso, você deve se concentrar em torná-lo seguro e em operações seguras (por exemplo, a capacidade de implantar atualizações rapidamente, monitorar logs etc.).

Você não pode esconder completamente. A maior parte do que é necessário para fazer isso exigiria um núcleo de hackers. O mais importante é a Drupalvariável JavaScript que pode ser lida na primeira página ou em qualquer outra página.

Se você deseja melhorar a segurança de seus sites ocultando que é um site Drupal, seu esforço é melhor gasto em revisões de código do que em tentar ocultar o fato de que o site é feito com Drupal.

É fácil demais, Kiam!

• Use um proxy reverso ou personalize seu daemon http para filtrar o irritante cabeçalho http Drupal
• Negar acesso http a qualquer pasta padrão do Drupal
• Use o buffer de saída PHP para reescrever e ocultar sua fonte HTML, remover dados desnecessários
• Use o alias do URL ou custom_url_rewrite_in / outbound para deixar seus URLs uma bagunça
• Altere o erro 404 padrão, remova / altere update.php
• Faça outras alterações se alguém descobrir

E por último, mas não menos importante, verifique se o site é tão simples que não requer JS ou CSS para comportamentos normais (não use Views ou Ctools ...), não oferece suporte à autenticação do usuário etc. ser tão simples quanto um site estático em html.

Ok, tudo isso para fazer as pessoas acreditarem que seu site não roda o Drupal. De qualquer forma, a segurança pela obscuridade é inútil.

Existe um artigo oficial e uma discussão sobre o mesmo .

Você não pode. Não tente

• Ataques automatizados (de longe os ataques mais comuns) nem sequer inspecionam o servidor antes de tentar suas explorações .
  Inspecionando os logs de qualquer site de alto perfil mostrará milhares de pedidos infrutíferos para /AspBB/db/betaboard.mdb _private/cmd.asp /scripts/../../winnt/system32/cmd.exe /wp-login/ /administrator/components/com_wmtgallery/admin.wmtgal, /cgi-bin/ip.cgi... e qualquer número de tentativas de exploits históricos sobre qualquer sistema independentes.
  Ataques em explorações acontecem mesmo se as explorações não existirem no seu sistema operacional ou no CMS. Tudo o que você fizer para identificar mal o seu site será ignorado pelos hackers amadores.
• Tudo o que você acha que pode esconder, há outras pistas para qualquer sistema.
  Simplesmente remover algumas de todas as strings que contêm 'drupal' não disfarça o site de qualquer intrometido razoável. Existem dezenas de maneiras que podem ser usadas para adivinhar o que está veiculando suas páginas, até serviços dedicados para informar o site que está executando o Drupal. Apenas as palavras-chave que você reconhece e considera uma ameaça são um subconjunto menor dos indicadores reais.
  Peça index.php /? Q = user. Em seguida, tente desativar essa resposta sem danificar seu site.
• Segurança pela obscuridade não é segurança. Dá uma falsa impressão de estar 'seguro' quando você está apenas escondendo vulnerabilidades atrás de uma cortina de fumaça que qualquer invasor que represente qualquer ameaça real seria capaz de enxergar.
• Embora não seja totalmente impossível hackear o código até o ponto em que a maioria dos traços do Drupal estão ocultos da fonte HTML (afinal de contas, é código-fonte aberto), as etapas necessárias para fazê-lo necessariamente quebrariam tanto o núcleo que sua ramificação do código invadido seria incompatível com as atualizações de segurança reais que você não poderia corrigir e estaria genuinamente aberto a ameaças futuras reais identificadas pela equipe de segurança. Este é um verdadeiro caminho para a vulnerabilidade do sistema.
• Os módulos mais significativos ou úteis têm seu próprio código 'assinatura' que é difícil de ocultar sem reescrições significativas. Se você estiver usando 'views', 'cck', 'ad', 'imagecache', 'jquery', agregação de css, temas contribuídos ou qualquer coisa útil em seu site - alguém pode dizer . Esconder isso inteiramente normalmente exigiria uma conversão total das funções do tema - pelo menos. Mesmo assim, a obsfucação provavelmente não funcionará .
• Para remover a identificação de muitos dos recursos avançados, como até a instalação fácil do Google Analytics que pode usar as Bibliotecas do Drupal para funcionar, você deve necessariamente renunciar completamente a esses recursos ou reescrevê-los de uma maneira que não tire proveito da infraestrutura do Drupal . Às vezes isso é possível, mas em todos os casos é contraproducente.

Você também pode estar interessado em ler Protegendo seu site .

Lembre-se de nunca hackear o núcleo

Não há nenhum ponto em esconder que seu site executa o Drupal. É a maneira errada de olhar para o desenvolvimento de sites. O que você deveria focar é a segurança. Certifique-se de implementar todas as medidas de valores mobiliários e tudo ficará bem. Não há uma razão no mundo para ocultar o fato de você estar usando um determinado cms ou outro software. Com complementos do FF como o Wappalyzer, você pode dizer em um instante se um site usa o Drupal, então a questão é bastante discutível.

Uma coisa extra que você pode fazer é usar também o módulo Aliases de arquivo para alterar a estrutura padrão do arquivo.

O módulo Aliases de arquivo permite que você use aliases personalizáveis ​​de token para seus arquivos enviados, permitindo manter o sistema de arquivos organizado como de costume, fornecendo caminhos limpos (ou seja, não há mais / sites / default / files /).

Eu concordo com outras pessoas que você não pode esconder isso completamente. Se você olhar a fonte HTML, notará que muitas vezes os arquivos CSS e JavaScript não foram agregados. A agregação CSS e JavaScript deve estar ativada.

No passado, troquei minhas fontes pelas fontes típicas do projeto Ruby, como Lucida Sans, aumentando também os tamanhos de entrada, como todos os garotos da moda.

Outro exemplo é o gráfico "throbber" para campos de preenchimento automático. Também não funciona quando você aumenta o tamanho da entrada. Aqui está um que você pode roubar: http://beta.seattlebedandbreakfast.com/misc/throbber.gif