网上搜索出很多方法了，这里记录一下：
如果是asp.net mvc的话还得在global.ascx中加入：
至于移除Server头，按网上的写法写httpmoudle后发现无效的，最后还是用了微软官方的UrlScan工具，搜索下载安装后在
C:WindowsSystem32inetsrvurlscan
里有个UrlScan.ini文件，需要用管理员的权限打开，我的方法是进入管理员的cmd, 转到该目录下，运行命令 notepad
UrlScan.ini
就用记事本打开可以编辑了，里面有个RemoveServerHeader，设置为1即可，重启IIS后就生效了，再访问网站按F12会发现Server不见了
移除http响应中的多余的头（X-AspNet-Version,Server等）
原文：http://www.cnblogs.com/niunan/p/6073228.html