修改OpenSSH服务版本号

前言

这几年信息安全要求很高，奈何口号响亮掩盖不了我们技术基础依然很低的事实，加上风口烧钱和政绩工程等因素，于是就诞生了一些乱象，其中一个就是安全扫描胡乱标记，这里面的典型就是OpenSSH的漏洞扫描报告。

比如，OpenSSH社区说我们最近修复了某个漏洞，发布补丁到新版本OpenSSH 9.7。然后像红帽，SUSE，欧拉，Ubuntu这些大公司或者Debian，ARCH等社区的发行版会第一时间把相关补丁打入自己的升级包，但是按照发行规则，命名就跟随大版本，如RHEL7/CentOS7新的升级包可能是openssh-server-7.4p1-23.el7_9.x86_64，也就是说版本继续在7.4后面增加小版本号。

这时候某些漏洞扫描工具就闪亮登场了，它们无力去验证对端的ssh服务到底有没有这个漏洞，但是sshd的版本号是谁都可以看到的啊，你是7.4，低于9.7，那你这个OpenSSH就是有漏洞。

这种扫描版本号来判断是否存在漏洞的方式并非不可行，只要去该Linux发行版的官网，查询下修补漏洞记录就可以知道某个版本号是否修复了某个漏洞，可是直到现在，这么一个简单的事情却没见到有人做。可能对安全扫描来说，能多找出一些漏洞更重要吧，哪怕这些漏洞根本不存在。

于是系统管理员花时间去修补不存在或者不必处理的漏洞，有时候，为了修补一个不存在的漏洞，还要升级OpenSSL，导致更多系统和应用的故障。

操作

下面的操作很危险，可能导致ssh远程链接失败，所以不要贸然在生产系统尝试。任何情况下操作请确保有另一个登陆系统的办法&