彻底关闭x11forwarding需服务端禁用（sshd_config设x11forwarding no）、客户端清除display等环境变量，并配置~/.ssh/config中forwardx11 no，三者协同方可完全阻断x11通道，消除内存注入与侧信道攻击风险。

关闭 X11Forwarding 是阻断利用该通道进行内存注入、侧信道攻击或 GUI 应用劫持的关键一步。X11 协议本身缺乏现代沙箱机制，远程 X11 客户端可读取剪贴板、监听键盘事件、甚至通过 XGetImage 等接口实现屏幕内容窃取或渲染内存泄漏——CVE-2021-41617 就曾被用于构造跨会话内存读取原语。真正有效的防护需服务端禁用 + 客户端同步清理，而非仅靠单边配置。

服务端彻底禁用（root 权限操作）

这是最根本的防御层，从源头切断通道：

• 编辑 /etc/ssh/sshd_config，确保存在且未被注释的行：
  X11Forwarding no
• 如需额外加固，追加：
  X11UseLocalhost yes（强制绑定 127.0.0.1，防端口转发绕过）
  PermitUserEnvironment no（阻止用户通过 ~/.ssh/environment 注入 DISPLAY 变量）
• 保存后执行：
  sudo systemctl restart sshd
  验证是否生效：
  sudo sshd -T | grep -i x11 → 输出应为 x11forwarding no

客户端主动清除残留环境（普通用户必做）

即使服务端已禁用，若客户端曾开启过 X11 转发，$DISPLAY 可能仍残留为 localhost:10.0 或 localhost:11.0，部分脚本或工具会据此尝试连接，造成本地 X Server 暴露或触发异常内存映射行为：

• 登录后立即执行：
  unset DISPLAY XAUTHORITY XDG_SESSION_TYPE
• 加入 shell 初始化文件（如 ~/.bashrc）以持久生效：
  if [ -n "$DISPLAY" ]; then unset DISPLAY XAUTHORITY; fi
• 检查是否清空：
  env | grep -i "display\|xauth\|x11" → 应无任何输出

SSH 配置文件全局屏蔽（防误启用）

避免因命令行漏写 -x 或配置继承导致意外开启：

• 编辑 ~/.ssh/config，在对应 Host 块或全局块中添加：
  ForwardX11 no
  ForwardX11Trusted no
• 若使用 Xshell / MobaXterm 等图形客户端，在连接属性的「隧道」或「SSH」页签中，取消勾选「启用 X11 转发」和「信任 X11 转发」
• 完成配置后，所有新建立的连接默认不协商 X11 通道，无需记忆参数

做到这三层，X11 通道即被完全关闭：服务端拒绝协商、客户端不发起请求、运行时无污染变量。实测可消除基于 X11 的内存注入面，同时降低 SSH 握手延迟与内存占用，属于低投入高回报的安全基线措施。