Security 在哪里可以看到服务器http头？

Whitehat Sentinel对我们的一个应用程序进行了测试，他们的发现之一是，在某些情况下，服务器的响应头设置为：

微软HTTPAPI/2.0

我尝试访问他们用Postman和Fiddler标识的URL，但我没有看到服务器头。我还尝试了在线网络嗅探器

有人能告诉我怎么看这个标题吗

在Chrome网络选项卡中，我看到了这些标题

HTTP/1.1 404 Not Found
Content-Type: text/html
Strict-Transport-Security: max-age=300
X-Frame-Options: SAMEORIGIN
X-Content-Type-Options: nosniff
Date: Thu, 13 Jul 2017 13:59:15 GMT
Content-Length: 1245 

没有服务器头

---

Whitehat报告的URL不适用于我，我将目标URL更改为domain.com/%%，这导致请求由http.sys处理，并返回服务器属性。

这不是标头的名称。这是当应用程序通过HTTP.sys（Windows内置的内核模式HTTP服务器）通过HTTP提供文件服务时，在服务器头中找到的值

例如，当通过HttpListener为文件提供服务时，我得到以下标题：

Server: Microsoft-HTTPAPI/2.0

可通过设置以下注册表值禁用此标头：

关键字：HKEY\U LOCAL\U MACHINE\SYSTEM\CurrentControlSet\Services\HTTP\Parameters 名称：DisableServerHeader 类型：德沃德 价值：1

---

是的，对不起，我将改写这个问题。但是我看不到服务器头。你确定你的工具没有把它当作不重要的东西来隐藏吗？我通常使用Firefox开发工具的网络标签。另外，你确定你发送的是完全相同的请求吗？有效的请求可能不会收到服务器头，因为它们是由应用程序的代码处理的。无效请求永远不会进入应用程序的代码，并由http.sys在内部处理，从而获得默认的头。例如：