從駭客視角佈建伺服器安全：防 Webshell 實戰指南

前言

防禦需從攻擊者角度思考。主流 Web 入侵路徑：尋找程式漏洞 → 取得 Webshell → 依伺服器配置提權 → 拿下伺服器控制權。針對伺服器配置防禦 Webshell 是有效策略。

一、防止資料庫被非法下載

管理員常修改預設資料庫路徑，但疏忽者直接安裝不刪除說明檔，導致駭客下載原始碼找到預設資料庫，讀取管理帳號密碼 (MD5 加密) 登入後台獲取 Webshell。另一風險為程式錯誤暴露資料庫路徑。

解決方案：新增 MDB 擴展對應

1. 開啟 IIS →「網站」右鍵「內容」→「主目錄」→「配置」→「對應」→「應用程式副檔名」。
2. 新增 .mdb 副檔名，指定解析執行檔 (任選一個導致無法存取的檔案)。

優點： 所有 .mdb 檔案均無法下載，對虛擬主機管理尤為實用。

二、防止惡意上傳

若使用 MSSQL 且存在注入點，駭客仍可猜解資料庫。若上傳目錄無身分驗證，直接上傳 ASP 木馬即獲 Webshell。

核心原則

可上傳目錄不給執行權限，可執行目錄不給上傳權限。

配置步驟

1. IIS 網站目錄「權限」頁籤：僅給 IIS 用戶「讀取」與「列出目錄」權限。
2. 上傳檔案儲存目錄與資料庫目錄：給 IIS 用戶「寫入」權限。
3. 這兩個目錄「屬性」→「執行權限」將「純指令碼」改為「無」。
4. 注意：務必正確設定父目錄繼承，避免設定失效。

三、防禦 MSSQL 注入攻擊

1. 資料庫連接帳號原則

• 嚴禁使用 sa 帳號連接資料庫，否則等同災難。
• 優先使用 db_owner 權限帳號，若可正常運行則使用 public 最安全。

2. 封鎖差異備份提權路徑

攻擊者利用 xp_regread、xp_dirtree 等擴展預存程序遍歷目錄或讀取登錄檔尋找 Web 目錄，再透過差異備份獲取 Webshell。

對策

• 刪除 xp_regread、xp_dirtree 兩個擴展預存程序，甚至刪除對應 DLL。
• 降低連接帳號權限：在帳號屬性→「資料庫存取」僅勾選對應資料庫賦予 db_owner；在資料庫屬性→「權限」移除該用戶的「備份資料庫」與「備份日誌」權限。

結語

防禦 Webshell 需從資料庫下載、檔案上傳、SQL 注入三大面向切入，核心在於最小權限原則與 IIS 權限精細控制。配置時務必驗證繼承關係，確保策略真正生效。