怎么通过隐藏系统 Banner 信息防止黑客收集操作系统版本-安全-PHP中文网

隐藏系统banner信息虽不能阻止黑客识别操作系统，但能显著增加其自动化探测成本，减少被批量扫描和针对性攻击的风险；banner是服务连接初期暴露的明文标识，关闭它可延缓攻击者匹配漏洞库。

怎么通过隐藏系统 banner 信息防止黑客收集操作系统版本

隐藏系统 Banner 信息不能阻止黑客识别操作系统，但能显著增加其自动化探测成本，减少被批量扫描和针对性攻击的风险。Banner 是服务在建立连接初期主动暴露的明文标识，是攻击链中“信息收集”环节最廉价的入口。关掉它，等于撤掉路标，让扫描器无法一眼认出你用的是 Ubuntu 22.04 还是 CentOS 7，更难匹配已知漏洞库。

SSH 服务 Banner 隐藏（最常用、最有效）
SSH 是远程登录主通道，也是 Banner 泄露重灾区：

编辑 /etc/ssh/sshd_config，确保这两行启用：
DebianBanner no（仅 Debian/Ubuntu 生效，禁用发行版后缀如 Debian-2+deb12u2）
Banner /etc/issue.net（指向自定义提示文件，不带变量）
清空 /etc/issue.net，只保留一行纯文本，例如：
Unauthorized access prohibited. All sessions monitored.
文件权限设为 644，所有者为 root；权限错误会导致 Banner 静默失效
修改后执行 sudo systemctl reload sshd（reload 不中断已有连接）

系统级登录横幅清理（本地终端 & 部分网络服务）
/etc/issue 和 /etc/issue.net 控制 tty 登录前显示内容，常含 \r（内核版本）、\s（系统名）等敏感转义符：

协同养育操作系统

协同养育操作系统（Co-Parenting OS）— 离异家庭专业协同养育支持系统。12模块覆盖接送管理、成长记忆库、孩子观察站、亲子关系粘合剂、共同挑战中心、情绪冲突观察、父母成长、成长档案馆、成长阶段引擎、风险预警、驾驶舱、被恶意攻击急救包。当用户涉及离异家庭育儿、协同养育、抚养探视、接送安排、孩子成长记录、亲子关系、离异冲突、被恶意攻击、前任矛盾等话题时触发。

下载

直接清空并设只读：
sudo truncate -s 0 /etc/issue /etc/issue.net
sudo chmod 444 /etc/issue /etc/issue.net
检查 /etc/pam.d/sshd 是否加载 pam_motd.so，如有且不需要动态消息，可注释该行

Web 服务 Server 头精简（Apache/Nginx）
HTTP 响应头中的 Server: Apache/2.4.52 (Ubuntu) 是 Web 扫描器的黄金线索：

Apache：在主配置或虚拟主机中添加
ServerTokens Prod（只返回 Apache，不带版本与系统）
ServerSignature Off（关闭错误页底部的服务器信息）
<ifmodule mod_headers.c></ifmodule>
Header unset Server
Nginx：在 http 或 server 块中加 server_tokens off;
修改后必须重启服务，并用 curl -I http://your-ip 验证响应头是否真的没了 Server: 行

其他常见服务 Banner 控制
不同服务需单独处理，不能指望一招通用：

FTP（vsftpd）：在 /etc/vsftpd.conf 中设 ftpd_banner=Access restricted.，禁用 banner_file
Tomcat：修改 lib/catalina.jar 中 org/apache/catalina/util/ServerInfo.properties 的 server.info 字段，例如设为 server.info=WebServer
数据库（MySQL）：启动时加 --skip-show-database，或在 my.cnf 中配 skip_show_database = ON，配合账号最小权限控制
IIS：需安装 URL Rewrite 模块，在 applicationHost.config 中用规则移除 Server 和 X-Powered-By 头