網管實戰：伺服器防駭維護關鍵技巧

核心防護三步驟

1. 修補漏洞：建立定期更新機制

微軟產品漏洞頻出，「三天一小補、五天一大補」非虛語。務必透過 Windows Update 安裝所有關鍵更新，將已知風險降至最低。

2. 移除預設共享：切斷匿名枚舉路徑

2.1 刪除 IPC$ 共享
Windows 2000 預設開啟 IPC$ 允許匿名連線枚舉 SAM 帳號。防範方法：在「本地安全原則 → 安全選項」中將「對匿名連接的額外限制」設為「不允許列舉 SAM 帳戶和共享」。進階做法：建立啟動腳本 net share ipc$ /delete，透過「計劃任務」或「啟動資料夾」在開機時自動執行，徹底移除共享。

2.2 刪除 admin$ 共享
修改登錄檔 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters，新增 AutoShareWks (REG_DWORD) 值為 0。

2.3 清除預設磁碟共享 (C$、D$ 等)
同一登錄路徑下新增 AutoShareServer (REG_DWORD) 值為 0。

3. 修改預設帳號名稱：消除暴力破解突破口

在「本地安全原則 → 安全選項」中重命名「Guest」與「Administrator」帳號（例如改為無規則字串），並同步更新登入腳本。實測發現大量網咖伺服器仍使用預設管理員帳號搭配弱密碼，極易淪為「肉雞」。

SQL Server 進階鎖定

• 關閉預設 1433 連接埠（移除 TCP/IP 協定），阻斷遠程連線攻擊面。
• 強制 sa 帳號使用複雜密碼（英數符號混合），administrator 同理。
• TCP/IP 篩選僅開放必要埠：80 (Web)、21 (FTP 視需求)、55019/44405 (特定業務)。
• 部署 fishserver 等 ASP 防護工具，封堵腳本注入漏洞。

路由環境下的埠映射策略

僅在路由器映射上述必要埠，內網伺服器同樣套用相同篩選規則，實現「最小權限原則」的纵深防禦。

提醒：伺服器建議每 1-2 天重啟一次，釋放資源並驗證服務自啟動狀態。