Serv-U 安全防禦實戰：修改預設管理埠、強化目錄權限、降權運行服務

Serv-U 作為廣泛部署的 Windows FTP 服務器，若維持預設設定極易遭受暴力破解、提權攻擊、Webshell 植入等威脅。本文針對 Serv-U v3.x~v6+ 版本，提供三層防禦策略：修改/隱藏本地管理埠與密碼、收斂 Web 目錄執行權限與程式檔案存取、以低權限帳號運行服務，構建纵深防禦體系。

前置檢查清單 (必做)

• ❌ 絕不可 讓 Everyone 擁有任何服務器目錄的「完全控制」權限。
• ✅ Web 目錄權限原則：唯讀 + 寫入 (指定上傳資料夾)，移除「執行」權限。
• ✅ IPsec / Windows 防火牆：僅開放必要出入站埠 (FTP 21、被動埠範圍、管理埠僅本機/管理 IP)。

第一層：修改/隱藏本地管理介面 (Serv-U Administrator)

預設風險

• 管理埠：127.0.0.1:43958 (v3.x 以上版本)
• 預設管理員：LocalAdministrator
• 預設密碼：#l@$ak#.lk;0@P (內建常數)
• 攻擊者若取得本機存取 (Webshell、RDP、本地提權)，可直接連接管理介面新增域/用戶、竊取密碼雜湊、植入後門。

版本別防禦做法

配合 IPsec 封鎖管理埠

• 若不修改埠：IPsec 封鎖 43958 所有遠端 IP 存取。
• 若修改為 12345：IPsec 封鎖 12345 遠端存取，僅允許 127.0.0.1 / 管理機 IP。

第二層：收斂 Web 目錄與 Serv-U 程式目錄權限

Web 目錄權限原則

• 移除 IIS/IUSR 帳號的 「執行」權限 (Script/Execute)，僅保留「讀取」、「寫入 (上傳資料夾)」、「列表」。
• 原則：目錄權限獨立設定，不可有任何疏漏；單一目錄設錯即可能成為 Webshell 跳板。

Serv-U 安裝目錄保護

• 路徑例：C:\Program Files\Serv-U (建議安裝至非預設路徑)。
• NTFS 權限設定：
  Administrators：完全控制
  SYSTEM：完全控制 (服務運行需求)
  Users/Guests/IIS_IUSRS：拒絕存取 (含讀取/列表/執行)
• 目的：防止攻擊者透過 Webshell 讀取 ServUDaemon.exe、ServUDaemon.ini 分析管理埠/密碼、替換二進位檔植入後門。

第三層：以低權限帳號運行 Serv-U 服務

原理

• 預設 Serv-U 以 Local System (最高權限) 運行，一旦被利用漏洞執行任意代碼即獲得系統完整控制權。
• 建立專用低權限帳號 (屬於 Users 群組，非 Administrators/Power Users) 運行服務，縮小攻擊面。

操作步驟

1. 建立本地用戶 (例：svc_servu)，密碼複雜、設定永不過期。
2. 授予該用戶對 Serv-U 安裝目錄 及 FTP 服務資料目錄/磁碟 的 完全控制 權限 (NTFS)。
3. 服務管理器 (services.msc) → Serv-U FTP Server → 內容 → 登入 → 選擇「此帳號」輸入 svc_servu 及密碼 → 確定 → 重新啟動服務。

副作用與驗證

• 測試發現：低權限運行下 無法在管理介面新增/刪除用戶 (需寫入註冊表/設定檔權限不足)，但 FTP 服務本身 (登入、傳輸、目錄操作) 完全正常。
• 建議：日常管理改用 離線編輯 ServUDaemon.ini / 註冊表 或臨時提權管理帳號，平時以低權限運行服務。

總結防禦矩陣

實施上述三層防禦，配合定期修補 Windows/IIS 漏洞、啟用 FTPS 加密傳輸、審計日誌異常告警，可將 Serv-U 服務器的攻擊面壓縮至最小，大幅降低被植入後門、資料外洩、勒索軟體加密 FTP 資料等風險。