打造鋼鐵級IIS安全基線：從NTFS權限到TCP/IP堆疊的纵深加固清單

全新安裝的Windows NT 4.0/2000 Server，即便打滿補丁，默認配置下仍存在大量攻擊面。本文提供從作業系統底層到IIS應用層的系統化加固清單，構建多層次防禦體系。

一、作業系統安全基石（NT/2000通用）

1. 补丁與文件系統

• NT 4.0 → SP6a；Win2000 → SP4（含Rollup）
• 全盤轉換NTFS：convert C: /FS:NTFS（安裝時或事後均可）
• 清理ACL：移除 Everyone 的「寫入/修改」權限；關鍵目錄 Winnt\Repair 甚至移除「讀取」

2. 共享與NetBIOS收斂

• NT：系統策略編輯器 → 註冊表 → Windows NT網絡 → 取消共享相關勾選
• 2000：啟動腳本 net share c$ /delete 刪除默認管理共享
• 禁用TCP/IP上的NetBIOS：網絡屬性 → TCP/IP屬性 → WINS標簽 → 「禁用TCP/IP上的NetBIOS」

3. 管理員帳號偽裝與強口令

• 重命名Administrator（如 SysMaint_2024）
• 創建誘餌「Administrator」帳號，無權限、開啟審計、設置極長複雜密碼
• 真實管理員密碼：≥15位，含大小寫、數字、特殊符號（!@#$%^&*），定期輪換

4. 服務最小化原則

• 禁用非必要服務：IIS Admin Service（若非Web服務器）、Remote Registry、Messenger、Telnet、Simple TCP/IP Services等
• 數據庫不共置：若必須同機，數據庫SA帳號密碼絕不與OS管理員一致

二、IIS 5.0專項加固（Win2000）

1. 緩衝區溢出防護（MaxClientRequestBuffer）

Regedit32 → HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\w3svc\parameters
新建 DWORD: MaxClientRequestBuffer = 256 (十進制，單位KB，CNNIC建議值)

限制URL最大長度，緩解因超長請求導致的DoS。

2. 移除高風險腳本映射

• 刪除 .htr 映射（ISM.DLL，已知溢出漏洞）
• 刪除 /_vti_bin 遠程訪問（FrontPage Server Extensions漏洞面）
• IIS管理器 → 主目錄 → 配置 → 應用程序映射 → 刪除 .htw → webhits.dll（Index Server漏洞）

3. 安裝關鍵修補程序

• Q256888_W2K_SP1_x86_en.EXE（修復PRC漏洞）
• 刪除 c:\Program Files\Common Files\System\Msadc\msadcs.dll (RDS漏洞)

4. Index Server處置

• 不需全文檢索 → 禁用/卸載 Index Server 服務
• 若需使用 → 敏感目錄屬性 → 取消「為快速搜索建立索引」

5. Unicode漏洞修補

• Win2000：安裝 2kunicode.exe
• NT 4.0：安裝 ntunicode86.exe

三、持續安全運營：不只是一次性加固

1. 訂閱安全公告： Microsoft Security Bulletin、CVE、CERT/CC、廠商通告
2. 月度補丁日： 建立測試→預發→生產推送流程，48小時內完成關鍵補丁部署
3. 季度滲透測試： 內部紅隊或第三方授權測試，驗證加固有效性
4. 日誌審計常態化： IIS日誌+安全日誌+防火牆日誌關聯分析，建立基線告警
5. 配置漂移檢測： 以基線模板（SCM/SCAP）定期掃描，自動糾偏

核心認知： 微軟產品易用性強，但漏洞曝光率同類最高。
「一次加固，終身免疫」是危險幻覺。
唯有持續監控、快速響應、預案演練，才能在攻防博弈中立於不敗之地。

附錄：快速自檢清單（上線前必過）

安全是系統工程，而非產品清單。將此清單內化為標準化交付模板，配合自動化合規掃描，才能在規模化運維中守住底線。