Windows 服務器安全加固全攻略：從入侵鏈視角構建纵深防禦

核心思路：對應入侵鏈每一環節佈防

入侵者通常遵循「掃描→下載漏洞利用代碼→上傳 Webshell→提權→建立持久化→橫向移動→清理痕跡」的攻擊鏈。我們針對每個階段部署針對性防禦，構建「防禦纵深」體系：

1. 端口限制 — 封堵掃描面
2. ACL 權限控制 — 限制文件/注冊表/進程操作
3. 禁用非必要服務與組件 — 減少攻擊面
4. 封包過濾 / 應用層過濾 — 攔截惡意負載
5. 審計與日誌審計 — 事後追溯與實時告警

階段一：偵察與掃描 — 端口最小化原則

使用 Windows 本地 IPSec 策略（或防火牆）實施「默認拒絕，顯式允許」：

入站規則（外部→本地）

TCP 80   (HTTP)
TCP 20,21 (FTP 主動/被動)
TCP 25   (SMTP)
TCP 110  (POP3)
TCP 3389 (RDP — 僅限管理 IP)
TCP 1433 (SQL Server — 僅限應用服務器)
TCP 3306 (MySQL — 僅限應用服務器)
# PASV FTP 被動模式端口範圍按需開放

出站規則（本地→外部）— 極度克制

TCP/UDP 53 (DNS — 僅解析服務器)
TCP 25   (郵件發送 — 非郵件服務器可關閉)
# 原則：非必要不開放任何主動外連端口，徹底阻斷反彈 Shell

關鍵：最後一條規則 Deny All Inbound，確保未授權連接全部丟棄。

階段二：漏洞利用與惡意下載 — URLScan 與擴展名封鎖

安裝 URLScan 3.1+，編輯 urlscan.ini：

[DenyExtensions]
.cer;.cdx;.mdb;.bat;.cmd;.com;.htw;.ida;.idq;.htr;.idc;.shtm;.shtml;.stm;.printer

• 阻斷腳本執行、數據庫下載、管理接口暴露等高風險請求。
• 此法優於「文件頭加特殊字符」，因編碼繞過無效。

階段三：文件上傳與 Webshell 植入 — 權限隔離與組件清理

1. 目錄 ACL 精細化

• 每個站點建立專屬 Windows 用戶（如 site1_user）
• 站點物理目錄 ACL：Administrators:F、SYSTEM:F、site1_user:RWX（去除「完全控制」「遍歷」「取得所有權」）
• 上傳目錄進一步移除「執行」權限，僅保留「讀寫」，徹底杜絕腳本落地執行。

2. 卸載高危 COM 組件（FSO、WSH 等）

regsvr32 /u c:\Windows\system32\scrrun.dll  # 禁用 FileSystemObject

刪除註冊表鍵值並清理 CLSID：

HKEY_CLASSES_ROOT\WScript.Network
HKEY_CLASSES_ROOT\WScript.Shell
HKEY_CLASSES_ROOT\Shell.Application
... (含版本號子鍵 .1)
# 同步刪除 HKEY_CLASSES_ROOT\CLSID\{對應 GUID}

此舉可使經典 WScript.Shell、Shell.Application 等 Webshell 核心組件失效。

階段四：命令執行與提權 — 核心二進制 ACL 鎖定

鎖定 C:\Windows\System32\cmd.exe 及 net.exe：

• 僅保留 Administrator(重命名後) 及 SYSTEM 的「完全控制」
• 移除 Users、Administrators、IIS_IUSRS 等所有其他主體權限

進階技巧：替換 cmd.exe 為自帶日誌版本（如 comlog.exe），記錄所有命令行參數。

階段五：賬戶操控 — 強化賬戶策略

• 重命名 Administrator → root（或其他非字典名）
• 禁用 Guest 並重命名為 Administrator 設置強密碼作蜜罐
• 除 root、IUSR_*、IWAM_*、ASPNET 外，禁用所有內建賬戶
• 組策略：拒絕通過終端服務登錄 給非管理員組
• SQL Server：sp_dropextendedproc 'xp_cmdshell' 等移除危險擴展存儲過程

階段六：圖形終端訪問 — 端口與協議雙重封鎖

• 3389 僅放行管理員來源 IP
• 出站規則全閉合，防反彈木馬建立反向 RDP/VNC
• 必要時部署 IPsec 隔離域控與應用服務器

階段七：痕跡清理 — 審計與遠程日誌

1. 本地安全策略 → 審核策略：全部勾選「成功、失敗」
2. 使用 Evtsys 將 Windows 事件轉 Syslog 推送至遠程日誌服務器（推薦 Kiwi Syslog Daemon 或 Linux rsyslog）
3. 替換系統 cmd.exe、net.exe 為記錄版本，命令審計雙重保險

額外加固層：網絡邊界與流量分析

1. 代理型防火牆（如 ISA 2004 / TMG / 現代 WAF）

深度檢測 HTTP 請求體，過濾 SELECT、DROP、INSERT、DELETE 等 SQL 關鍵字，從協議層阻斷注入。

2. 部署 Snort IDS 側向旁路分析

鏡像核心交換機流量至分析節點，重點關注：

• FTP 命令通道異常
• ASP/ASPX 請求異常頻次與載荷
• 已知漏洞特徵庫匹配

實戰清單：標準虛擬主機（Win2003 + IIS6 + Serv-U + IMAIL + SQL2000 + PHP + MySQL）

按上述原則逐項落地，具體配置腳本已整理為清單（含 IPSec 策略導出、ACL 批處理、URLScan 模板、註冊表 .reg、SQL 強化腳本、服務禁用列表、殺毒策略、備份計劃），可直接在生產環境經驗證後應用。

總結

安全非一次性動作，而是持續過程。核心原則：

「不讓掃到洞；掃到也上傳不了；上傳了跑不了碼；跑了碼拿不到 Shell；拿到 Shell 提不了權；提了權上不了圖形界面；上了界面操作全留痕。」

配合邊界 WAF、內網 IDS、遠程審計，構建可觀測、可追溯、可遏制的纵深防禦體系。