Serv-U 6.0.0.2 終極安全配置指南：從安裝路徑偽裝到系統服務帳號隔離的纵深防禦

Serv-U 作為經典 FTP 伺服器軟體，因安裝簡單、功能強大而廣受青睞，但也因廣泛部署成為攻擊首選目標。歷經 SITE CHMOD 提權、MDTM 漏洞、本地溢出 (預設管理帳號 localadministrator 硬編碼於 ServUDaemon.exe) 等重大漏洞，Serv-U 6.0.0.2 引入管理主控台登入密碼保護機制。本文提供從安裝、服務帳號隔離、登錄權限鎖定、檔案系統 ACL 強化至 IIS 整合隔離的完整纵深防禦配置清單。

階段一：安裝階段偽裝與最小化暴露

1. 非預設安裝路徑： 避開 C:\Program Files\Serv-U，改為亂碼路徑如 D:\yuj3487Gwer6eJegsf。若 Web 使用者無法瀏覽該磁碟，攻擊者極難猜測路徑。
2. 清除捷徑： 安裝後刪除桌面與「開始」功能表捷徑。管理介面透過系統匣 Tray Monitor 圖示雙擊啟動。
3. 最小化元件： 僅安裝前兩項 (核心服務、管理主控台)，略過說明檔與線上說明。
4. 重命名開始功能表資料夾： 改為無關名稱或直接刪除資料夾。
5. 取消安裝精靈建立帳號： 精靈建立的帳號權限過寬，改用手動建立域與帳號。
6. 註冊為系統服務： 勾選「Start automatically (system service)」並點擊「Start Server」，實現開機自動啟動，無需互動登入。
7. 設定管理主控台密碼： 首次啟動 ServUAdmin.exe 會提示設定密碼 (舊密碼留空)。務必設定高複雜度密碼 (≥20 字元、含特殊符號)。忘記密碼時，刪除 ServUDaemon.ini 中 LocalSetupPassword= 行即可重置。

階段二：建立專用低權限系統服務帳號 (核心隔離措施)

1. 建立本地用戶 SSERVU，設定高複雜度密碼 (記錄於保險箱/密碼管理器)。
2. 用戶屬性 → 「隸屬於」：移除 Users 群組 (僅保留預設建立時自動加入的群組，或明確加入 Guests 等極低權限群組)。
3. 「終端服務設定檔」：取消勾選「允許登入終端服務器」。
4. 服務管理主控台 (services.msc) → Serv-U FTP Server 右鍵→內容→「登入」→ 選擇「這個帳號」→ 輸入 .\SSERVU 及雙次密碼 → 套用、確定。
5. 原理： Serv-U 不再以 SYSTEM 權限運行，而是以極低權限 SSERVU 執行。即使發生緩衝區溢出、遠端代碼執行 (RCE)，攻擊者也只能取得 SSERVU 權限，無法存取系統核心資源。

階段三：登錄權限鎖定 (防範配置竄改)

1. 開啟 regedt32 (Win2k/2003) 或 regedit (XP/2003+)。
2. 定位 HKEY_LOCAL_MACHINE\SOFTWARE\Cat Soft (Serv-U 設定存放處)。
3. 右鍵→權限→進階 → 取消勾選「允許父項的繼承權限傳播到此物件及所有子物件」→ 選擇「移除」所有現有權限條目。
4. 確認警告對話框「您拒絕了所有用戶存取 Cat Soft...」→ 是。
5. 新增 SSERVU 帳號 → 授予「完全控制」權限。
6. 效果： 僅有 SSERVU (即 Serv-U 服務進程) 能讀寫自身配置。Web 惡意腳本、SQL 注入取得的 IUSR_*/NETWORK SERVICE 等低權限身分完全無法竄改 Serv-U 設定 (如新增後門帳號、修改端口、關閉服務)。

階段四：安裝目錄與 Web 根目錄 ACL 強化

1. Serv-U 安裝目錄 (如 D:\yuj3487Gwer6eJegsf)：
   • 移除所有繼承權限。
   • 僅保留 Administrators (完全控制) 與 SSERVU (讀取、執行、列出資料夾內容)。
   • 移除 SYSTEM、Users、Everyone 等。
2. Web 根目錄 (如 D:\Web)：
   • 移除繼承權限，刪除 Everyone、Users、SYSTEM。
   • 保留 Administrators、IIS 匿名用戶 (如 IUSR_* 或應用程式集區身分 IIS_WPG/IIS_IUSRS) 必要權限 (讀取、執行)。
   • 關鍵：新增 SSERVU 授予「讀取、寫入、列出資料夾內容、修改」 (視 FTP 上傳需求) 權限。
3. Web 根目錄所在磁碟根目錄 (如 D:\)： 僅授予 SSERVU「遍歷資料夾/執行檔案」、「列出資料夾/讀取資料」、「讀取屬性」、「讀取擴充屬性」——最小遍歷權限，確保服務能進入子目錄。
4. 進階安全設定 → 僅將上述權限套用至「此資料夾」，不繼承至子物件 (防止權限過度蔓延)。

階段五：驗證與 IIS 整合隔離效果

1. 重啟 Serv-U FTP Server 服務 → 應正常啟動 (若失敗，檢查安裝目錄/登錄 ACL 是否遺漏 SSERVU 權限)。
2. 建立 FTP 測試帳號，指向 Web 子目錄，驗證上傳/下載/列表/刪除功能正常。
3. 隔離驗證：
   • Web 匿名用戶 (IUSR_*) 無法存取 Serv-U 安裝目錄、登錄配置。
   • SYSTEM 無法存取 Web 目錄 (防止 MSSQL xp_cmdshell/備份還原寫入 Web Shell)。
   • Serv-U 進程 (SSERVU) 無法存取系統核心資源、註冊表敏感區域、非授權目錄。

安全效益總結

持續維運建議

• 定期檢查 Serv-U 官方安全公告，及時套用修補程式。
• 啟用 Windows 稽核原則：登錄 Cat Soft 寫入失敗、安裝目錄存取失敗、服務啟動/停止事件。
• 部署檔案完整性監控 (FIM) 如 Tripwire、OSSEC、Windows 內建 auditpol 監控關鍵目錄/登錄變更。
• 年度滲透測試驗證隔離有效性。

Serv-U 6.0 安全配置的核心哲學：最小權限執行、配置與資料隔離、身分邊界劃分。透過系統服務帳號降權、登錄/檔案系統 ACL 精細管控，將單一元件受損的衝擊半徑壓縮至最小，構建可驗證、可維運的 FTP 服務安全基線。