OWASP ZAP扫描后怎么处理’信息泄露’的低风险漏洞？

慕容钰欣提问于 2026-02-03 18:27:31 阅读 43

安全

用OWASP ZAP扫描公司登录页面时，总提示’信息泄露’低风险漏洞，但实际访问页面没问题

具体是说响应头里有Server字段暴露了nginx版本号，我按照教程在服务器加了header("Server: none")，重启Nginx后手动检查响应头确实看不到Server字段了

但重新跑ZAP扫描时还是报同样的错误，甚至多出了’X-Powered-By’字段泄露？明明后端PHP配置了expose_php = Off…

这是不是ZAP缓存了旧数据？还是说需要配置其他地方？感觉改了配置就是没生效的样子…

我来解答赞 6 收藏

反馈

1 条解答

FSD-晨曦 Lv1

检查下 Nginx 配置是否真正生效，有时候配置文件可能没重载。另外 ZAP 扫描前清空浏览器缓存或换个新环境试试。

你那边 PHP 的 expose_php = Off 是对的，但确认下 php.ini 是否被正确加载，有些环境会额外加载额外的配置覆盖了主配置。

Nginx 加下面这一段防止缓存干扰：

location / {

    add_header Cache-Control "no-cache, no-store, must-revalidate";

    add_header Pragma "no-cache";

    add_header Expires 0;

}

跑完 ZAP 之前别用浏览器访问一遍目标 URL，浏览器会缓存响应头。用 curl -I http://yourdomain.com 确认下 Server 和 X-Powered-By 真的没了再扫。

2026-02-03 19:05