默认页面泄露什么
Apache、IIS、Nginx、Tomcat 等组件安装后自带的默认首页、示例应用与文档页，会暴露组件类型与版本信息；Tomcat 的 manager、host-manager、examples、docs 更是历史上被反复利用的入口。它们在功能上毫无价值，唯一的作用是告诉扫描器『这里装了什么、什么版本』。
基本信息
| 涉及组件 | Apache、IIS、Nginx、Tomcat、中间件控制台 |
|---|---|
| 暴露内容 | 组件版本、示例应用、管理台入口、目录结构 |
| 清理动作 | 删除示例应用、替换默认页、隐藏版本 |
| 隐藏配置 | server_tokens、ServerTokens、ServerSignature、Tomcat server 属性 |
| 注意 | 隐藏版本只降低被优先命中的概率，不能替代补丁 |
典型使用场景
- 上线前检查：确认首页不是默认欢迎页，也不回显版本号
- Tomcat 清理：移除或停用 webapps 下的示例与管理应用
- IIS 检查：移除默认文档中的欢迎页并关闭目录浏览
- 信息隐藏：统一在 Web 层关闭版本回显，减少指纹信息
- 例行巡检：把版本回显检查纳入月度配置基线核对
清理与信息隐藏
清理与信息隐藏
ls -la /opt/tomcat/webapps/ # 关注 examples、docs、manager、host-manager
# 移除或停用后核对 server.xml 的 appBase，避免自动重新加载
# Nginx：server_tokens off;
# Apache：ServerTokens Prod 与 ServerSignature Off
# Tomcat server.xml Connector 增加 server=" " 属性
# IIS：移除默认文档中的欢迎页，关闭目录浏览组件与控制项
| 组件 | 默认页面 | 关闭或隐藏方式 |
|---|---|---|
| Apache | 默认欢迎页与目录索引 | ServerTokens Prod、ServerSignature Off |
| Nginx | 默认欢迎页 | server_tokens off，替换 index.html |
| Tomcat | examples、docs、manager | 删除或停用对应 webapps 目录 |
| IIS | 欢迎页与目录浏览 | 移除默认文档，关闭目录浏览 |
隐藏版本只能降低被自动化扫描优先命中的概率，不能替代补丁；两者应同时做，尤其是组件已被披露漏洞的窗口期。
管理台（Tomcat manager 等）的目标不是『改个复杂口令』，而是先判断业务是否需要：不需要就直接停用，需要则限制来源网段并单独审计。
默认页面属于最容易被自动化扫描命中的特征之一：同一网段里只要有一台机器回显默认页，扫描器就会按对应组件的已知问题清单逐条试探。清理成本很低，收益是整体噪声下降。
例行巡检项
- 首页与常见管理路径（manager、admin、console）是否仍回显默认内容
- 响应头是否还带完整版本号
- 示例应用与文档页是否已从产物目录移除
- 占位页面是否标注了维护联系人，避免被误判为废弃系统