服务器基础安全：禁用不必要内核模块实战-安全-PHP中文网

禁用不必要内核模块可同时缩小攻击面、降低内存开销、减少漏洞暴露点；需通过lsmod识别零使用模块，modinfo确认功能，结合业务场景（如web服务器禁用bluetooth、firewire_core等）判断冗余，再以blacklist+install /bin/false写入/etc/modprobe.d/配置文件，执行update-initramfs -u或dracut -f生效，并通过lsmod、dmesg和modprobe验证禁用效果。

服务器基础安全：禁用不必要内核模块实战

禁用不必要内核模块是服务器基础安全中最直接、见效快的一环。它不依赖额外软件，也不改变业务逻辑，却能同时缩小攻击面、降低内存开销、减少潜在漏洞暴露点。

识别哪些模块该禁用

先看当前加载了什么：

运行 lsmod 查看已加载模块列表，重点关注使用计数（Used by）为 0 的模块
用 modinfo 模块名 确认功能，例如 modinfo bluetooth 显示“Bluetooth protocol support”，而你的 VPS 根本没有蓝牙硬件，就可判定冗余
结合业务场景过滤：Web 服务器通常不需要 firewire、ipx、dccp、irda、usb-storage；容器主机一般禁用 bluetooth、cfg80211（除非跑 WiFi 相关服务）
注意保留云平台必需模块：如 virtio_net、virtio_blk、xen-netfront 等，误禁会导致网络或磁盘不可用

持久化禁用的正确写法

仅卸载模块（modprobe -r）重启即失效，必须写入配置文件：

codeflow

一款AI工具，主要用于Codeflow 可将编码代理会话（例如 Claude Code、Codex、Gemini CLI 等）实时推流至 Discord 或 Telegram。适用于调用编码代理并希望……，适合需要提升相关任务效率的用户。

下载

在 /etc/modprobe.d/ 下新建文件（如 disable-unneeded.conf），避免直接改 blacklist.conf（易被系统更新覆盖）
每行一条规则：
blacklist bluetooth
blacklist firewire_core
更彻底禁用（防间接加载）加 install 行：
install bluetooth /bin/false
install firewire_core /bin/false
Debian/Ubuntu 执行 sudo update-initramfs -u，RHEL/CentOS 执行 sudo dracut -f，否则新内核启动时黑名单不生效

验证是否真正禁用

别只信配置文件，要验证结果：

重启后运行 lsmod | grep -E 'bluetooth|firewire'，应无任何输出
检查内核日志：dmesg | grep -i "bluetooth.*disabled\|loading.*fail"，看到拒绝加载记录才可靠
模拟模块手动加载：sudo modprobe bluetooth，应返回 modprobe: FATAL: Module bluetooth not found in directory 或被 /bin/false 阻断
若某模块仍被加载，用 modprobe -D bluetooth 查依赖链，顺藤摸瓜禁用上游模块