Windows 服務器安全加固實戰：權限隔離、組件清理、ASP 漏洞防禦

針對 Windows + IIS + ASP/ASP.NET 經典架構，本文匯總從作業系統、文件系統、IIS、組件、應用層面的纵深加固實踐，核心思想是「最小權限運行、組件最小化、攻擊面收斂、入侵後影響半徑最小化」。

一、基線加固：補丁、殺毒、端口、共享

• 補丁： 安裝前離線打全量補丁（WSUS/WSUS Offline），上架前確認 SP 級別（2000 SP4 / 2003 SP2 / 2008 SP2 / 2012 R2 / 2016/2019/2022 最新累積更新）；
• 殺毒： 部署企業級 EDR（Defender for Endpoint / CrowdStrike / SentinelOne），啟用實時防護、雲查殺、攻擊面縮減（ASR 規則），不依賴傳統簽名查殺；
• 防火牆/端口： Windows Defender Firewall / 硬件防火牆，默認拒絕入站，僅放行 80/443/管理端口（限源 IP）；禁用 NetBIOS over TCP/IP、刪除默認共享 (C$, ADMIN$) 或限制訪問；
• 服務收斂： 禁用 Print Spooler、Remote Registry、WebClient、SMBv1 等高風險非必要服務。

二、核心防線：NTFS 權限 + IIS 匿名用戶隔離（關鍵）

原理： IIS 處理請求時，以「匿名用戶」身份訪問文件系統。若所有站點共用同一匿名用戶（默認 IUSR），一旦某站點被 WebShell 植入，攻擊者即獲得所有站點文件讀寫權限。

隔離實施步驟：

1. 為每個站點/虛擬目錄創建專用本地用戶： site_a_user、site_b_user…，加入 IIS_IUSRS 組，不加入 Users/Guests；
2. IIS 站點綁定匿名用戶： 站點 → 身份驗證 → 匿名身份驗證 → 編輯 → 具體用戶 → 輸入專用用戶/密碼；
3. NTFS 權限最小化：
     • 所有磁盤根目錄：移除「繼承」，拒絕 專用用戶任何權限；
     • 站點物理路徑：允許 專用用戶 Read & Execute、List Folder、Read，寫入權限僅授予上傳目錄/緩存目錄/日志目錄；
     • 系統分區 (C:)、其他站點目錄、敏感目錄： 專用用戶 無任何權限（顯式拒絕或不添加）。
4. 驗證： 進站點 WebShell → 執行 dir c:\ → 應顯示「拒絕訪問」；僅能操作自身目錄下授權寫入目錄。

三、高危 COM 組件清理與重命名（ASP 木馬利用鏈斷點）

重命名操作規範（以 Shell.Application 為例）：

# 1. 導出原註冊表項備份
reg export "HKCR\CLSID\{13709620-C279-11CE-A49E-444553540000}" shell_bak.reg
reg export "HKCR\Shell.Application" shell_app_bak.reg

# 2. 修改 .reg 文件：CLSID 最後一位 +1，ProgID 後綴 _sec
# 3. 刪除原項，導入新項
reg delete "HKCR\CLSID\{13709620-C279-11CE-A49E-444553540000}" /f
reg delete "HKCR\Shell.Application" /f
reg import shell_modified.reg

# 4. 驗證：ASP 頁面 CreateObject("Shell.Application") → 失敗
#    新名稱 CreateObject("Shell.Application_sec") → 業務代碼同步修改

四、防止信息洩露與提權輔助

• 禁用 Workstation 服務： 阻斷 GetObject("WinNT://") 枚舉用戶/進程，切斷偵察鏈路；
• Serv-U / FileZilla Server 加固： 修改二進制默認管理員字符串、配置文件權限拒絕 IIS 匿名用戶讀取、啟用 TLS、IP 白名單、強密碼策略；
• 上傳目錄「寫入無執行」： IIS → 處理程序映射 → 移除 *.asp/*.aspx/*.php 處理程序，或 web.config 設置 <handlers accessPolicy="Read, Script"> 排除上傳目錄。

五、應用層自查清單（開發/運維共同責任）

• 論壇/CMS/OA：關閉無用上傳功能、上傳白名單（圖片/文檔）、文件名隨機化、存儲路徑非 Web 目錄、病毒掃描；
• 數據庫：修改默認表前綴、備份文件重命名、SA/Root 強密碼、最小權限應用賬號；
• 代碼審計：SQL 注入、XSS、文件包含、反序列化、邏輯越權、默認口令、敏感信息洩露；
• WAF/應用防火牆：部署 ModSecurity/開源 WAF/雲 WAF，虛擬補丁防護已知 CVE。

結語： Windows 服務器安全無銀彈，權限隔離是基石，組件清理是利刃，應用加固是盾牌。將「每個站點一個專用匿名用戶 + NTFS 顯式拒絕跨目錄訪問」落地，再疊加高危組件重命名/卸載、上傳目錄無執行、WAF 防護，即可將單站點被植入 WebShell 的影響半徑壓縮至「僅該站點授權寫入目錄」，實現「入侵不可避免，災難可控制」的工程目標。