MooM

[ul]
[*]3.3.1.1. 傳輸過程密碼未加密
會員在登入時，輸入帳密在送出 onSubmit 時，必須先用 js 將密碼加密再 submit 出去。
[*]3.3.1.2. 伺服器版本洩漏
joe d4.conf
ServerTokens Prod
ServerSignature Off

移除 header server，這個必須在 Web Server 設定，在 LoadBalance 設定沒有用。
sudo apt-get install libapache2-mod-security2 -y
joe /etc/apache2/mods-enabled/security2.conf
[<]IfModule security2_module[>]
...
SecServerSignature " "
[<]/IfModule[>]
[*]3.3.1.3. Cookie 未設定 SameSite 屬性 & 3.3.1.4. Cookie 未設定 Secure 屬性
在 LoadBalance 或 Web Server 都可以設定。
joe d4.conf
Header edit Set-Cookie ^(.*)$ "$1; SameSite=Lax; Secure; HttpOnly"
[/ul]

joe /etc/apache2/conf-available/security.conf

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

檢驗方式
Qualys SSL Labs：
輸入您的網域並執行掃描。
在結果頁面的 "Protocol Details" 區塊中，尋找 "Strict Transport Security (HSTS)"。若修復成功，會顯示 "YES" 及其設定值。

# 阻擋輸入的時間戳記請求
sudo iptables -A INPUT -p icmp --icmp-type timestamp-request -j DROP
# 阻擋輸出的時間戳記回應
sudo iptables -A OUTPUT -p icmp --icmp-type timestamp-reply -j DROP

or

iptables -A INPUT -p icmp --icmp-type 13 -j DROP
iptables -A OUTPUT -p icmp --icmp-type 14 -j DROP

輸入：nmap -sP -PP [您的IP]。
檢驗結果：
漏洞存在： 結果會顯示 Host is up 並且出現 16:25:30 或類似的 16 進位時間數據。
已修復： 結果會顯示 Note: Host seems down（即使機器開著），或者完全沒有時間戳記的回傳資訊。

joe /etc/apache2/sites-available/000-default.conf
[code]
<VirtualHost *:80>...
RewriteEngine on
RewriteRule ^ https://domainname/ [END,NE,R=permanent]
</VirtualHost>[/code]

編輯 joe /etc/httpd/conf/httpd.conf
[code]
AllowOverride All
[/code]

cd DOCUMENT_ROOT

編輯 joe .htaccess
[code]
ErrorDocument 404 /blank.html
[/code]

新增 touch blank.html

service httpd restart

編輯 joe /etc/httpd/conf/httpd.conf
[code]
#ScriptAlias /cgi-bin/ "/var/www/cgi-bin/"
[/code]
service httpd restart

移除 robots.txt 檔案
移除 robots.txt 檔案
移除 robots.txt 檔案

編輯 joe /etc/httpd/conf/httpd.conf
[code]
TraceEnable off
[/code]
測試 curl -v -X TRACE https://xxx.xxx.xxx

[code]
SSLEngine on
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder off
SSLOptions +StrictRequire
LogFormat "%h %l %u %t "%r" %>s %b "%{Referer}i" "%{User-agent}i"" vhost_combined
LogFormat "%v %h %l %u %t "%r" %>s %b" vhost_common
[/code]

驗證網址 https://www.ssllabs.com/

[code]
nmap -sV hostname.com
[/code]