Linux 系統偽裝術：修改服務標誌欺騙駭客掃描

駭客常透過服務標誌、TTL 值、開放埠號推測作業系統類型，進而針對性攻擊。本文以 Red Hat Linux 為例，示範如何偽裝系統資訊，增加攻擊分析難度。

一、HTTP 服務偽裝：將 Apache 偽裝為 IIS

預設 Apache 回應標頭會洩露版本與作業系統。修改原始碼重新編譯為根本之道：

1. 編輯 ap_release.h，將 AP_SERVER_BASEPRODUCT "Apache" 改為 "Microsoft-IIS/5.0"。
2. 編輯 os/unix/os.h，將 PLATFORM "Unix" 改為 "Win32"。
3. 重新編譯安裝 Apache。
4. 修改 httpd.conf：ServerTokens Prod、ServerSignature Off。

掃描後將顯示為 Windows + IIS 伺服器。

二、FTP 服務偽裝：修改歡迎訊息

以 ProFTPD 為例，修改 proftpd.conf 加入：
ServerIdent on "Serv-U FTP Server v5.0 for WinSock ready..."
重啟服務後，連線提示將偽裝為 Windows 下的 Serv-U。

三、TTL 值偽裝：修改封包存活時間

Linux 預設 TTL=64，Windows 為 128。執行：
echo 128 > /proc/sys/net/ipv4/ip_default_ttl
永久生效請修改 /etc/sysctl.conf 加入 net.ipv4.ip_default_ttl = 128。Ping 測試將回傳 TTL=128。

四、埠號偽裝：隱藏 SSH、偽造 RDP 埠

• 限制 SSH (22) 僅允許特定 IP：iptables -I INPUT -s ! xx.xx.xx.xx -p tcp --dport 22 -j DROP
• 將 3389 埠轉發至真實 Windows 主機：
  echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -I PREROUTING -p tcp --dport 3389 -j DNAT --to xx.xx.xx.xx
iptables -t nat -I POSTROUTING -p tcp --dport 3389 -j MASQUERADE

駭客掃描將見不到 22 埠，反見偽裝的 3389 埠，誤判為 Windows。

五、針對 Netcraft 掃描的反制

Netcraft 擁有多台掃描主機，需對其網段整體轉發欺騙：
iptables -t nat -I PREROUTING -s 195.92.95.0/24 -p tcp --dport 80 -j DNAT --to xx.xx.xx.xx
iptables -t nat -I POSTROUTING -s 195.92.95.0/24 -p tcp --dport 80 -j MASQUERADE

結語

偽裝手法屬「防君子不防小人」，屬纵深防禦一環，核心仍在於及時修補漏洞、最小權限原則與完善監控。