核心原則：防患未然優於亡羊補牢
木馬後門危害巨大，最佳策略是基礎加固 + 服務最小化 + 權限最小化 + 審計持續化四位一體。
一、後門防範三大基礎功
- 端口管控：關閉非業務端口，或僅允許指定端口存取（防火牆/IPsec策略）。
- 專殺工具常駐：部署服務器級反木馬軟體，定時掃描、實時監控。
- 進程審計習慣：定期檢查任務管理器/Process Explorer，識別不明進程（無簽名、異常路徑、高資源佔用），立即終止並溯源。
二、Web服務器（IIS）纵深加固
1. 服務最小化
- 關閉非必要Windows服務（如印表機、遠程註冊表等）。
- 建立安全帳號策略（密碼複雜度、鎖定閾值、審核登入事件）。
- 啟用安全日誌記錄關鍵操作。
2. IIS核心配置
- 目錄路徑遷移：刪除C盤
Inetpub，D盤重建並指向新路徑，規避系統盤攻擊面。
- 清理預設虛擬目錄：刪除
scripts、print 等預設映射，僅保留 ASP、ASA 必需映射（IIS管理器→主目錄→配置→映射標籤刪除多餘）。
- 啟用W3C擴充日誌：網站屬性→網站標籤→勾選啟用日誌→選W3C格式，記錄Client IP、User、Port、Method、URI Stem、HTTP Status、User Agent等，**每日人工/自動化審計**。
3. 目錄權限最小化（NTFS + IIS雙層）
- IIS虛擬目錄屬性→虛擬目錄標籤：僅授予「讀取」+「腳本執行」權限，禁止「寫入」、「目錄瀏覽」、「執行」權限。
- NTFS層面：嚴格設定用戶/群組ACL，應用程式池身分僅獲必要目錄讀寫。
4. Access資料庫防下載三重鎖
- 改名+深藏：非常規複雜檔名（如
db_8x3k2m1.mdb），放置深層非Web目錄（如 D:\Data\Secure\db_8x3k2m1.mdb）。
- 資料庫密碼：Access開啟密碼保護。
- IIS擴展映射封鎖：網站屬性→主目錄→配置→添加：可執行檔
asp.dll，擴展名 .mdb，動作 禁止。嘗試下載直接返回403/404。
三、SQL Server核心資料庫防禦
- sa帳號強制複雜密碼：預設空密碼為最大後門，必須修改。
- 最小權限原則：業務布號僅授予「檢視」與「執行預存程序」權限，嚴禁直接
SELECT/INSERT/UPDATE/DELETE 權限。
- 防注入編碼規範：參數化查詢、輸入驗證、錯誤訊息不回顯，杜絕SQL注入與暴庫風險。
四、持續性運維
- 代碼安全審查：上線前靜態分析+人工審核，選用成熟框架而非自造輪子。
- 定期備份驗證：資料庫+檔案雙備份，定期演練還原，確保RPO/RTO達標。
專家總結
Web服務器安全非一次性配置，而是基礎加固→服務最小化→權限最小化→持續審計的螺旋上升過程。每一層防禦都可能被繞過，但纵深體系能將攻擊成本推高至駭客放棄門檻之上。
