打造滴水不漏的 IIS 網頁伺服器安全防護指南

前言：安裝作業系統只是起點

全新安裝 Windows NT 4.0 或 Windows 2000 並套用大量修補程式，並不代表伺服器已具備對外服務的安全基線。IIS 作為網頁伺服器核心，歷來是攻擊者重點目標。本文將從作業系統底層到 IIS 應用層，系統性說明如何建立高安全性的 IIS 伺服器環境。

一、以 Windows NT/2000 安全機制奠基

1. 修補程式與檔案系統強化

• NT 4.0 必須套用 SP6，Windows 2000 至少套用 SP2。
• 所有磁碟分區轉換為 NTFS 格式（安裝時或事後透過 convert.exe）。
• 移除 Everyone 群組對關鍵目錄（如 Winnt\Repair）的寫入、修改甚至讀取權限。

2. 關閉預設管理共享

• NT 4.0：使用「系統原則編輯器」開啟登錄檔，取消「Windows NT 網路」相關勾選。
• Windows 2000：撰寫批次檔 net share c$ /delete 放入啟動腳本自動移除預設管理共享。

3. 管理員帳號重命名與強式密碼

• 重新命名內建 Administrator 帳號。
• 密碼長度 ≥ 10 字元，包含大小寫字母、數字、特殊符號（如 !）。

4. 解除 TCP/IP 上的 NetBIOS 綁定

於網路介面卡屬性 → 綁定設定中，取消 NetBIOS over TCP/IP，阻斷網路層級的資訊洩漏與攻擊面。

5. 服務隔離原則

避免在同一台伺服器安裝資料庫等其他服務；若必須共存，資料庫密碼嚴禁與系統登入密碼相同。

二、IIS 應用層安全鎖定

1. 緩衝區溢位防護（針對 IIS 4.0 及之前版本）

編輯登錄檔 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters，新增 REG_DWORD 值 MaxClientRequestBuffer，設定 IIS 接受的最大 URL 長度（建議 256 位元組）。

2. 移除高風險腳本對應

• 刪除 .htr 腳本對應。
• 將 /_vti_bin 虛擬目錄設為拒絕遠端存取。
• 於 IIS 管理主控台 → Web 站台屬性 → 主目錄 → 設定 → 應用程式對應，移除 htw 與 webhits.dll 的對應。

3. 套用關鍵修補程式

• Windows 2000 安裝 Q256888_W2K_SP1_x86_en.EXE。
• 刪除 C:\Program Files\Common Files\System\Msadc\msadcs.dll。

4. Index Server 風險控制

若不使用 Index Server，請停用或移除該服務；若使用，務必於敏感目錄取消「Index this resource」選項。

5. Unicode 漏洞修補

• Windows 2000 執行 2kunicode.exe。
• Windows NT 執行 ntunicode86.exe。

結語：安全是持續的過程

完成上述設定後，伺服器安全性顯著提升，但絕不代表「一勞永逸」。微軟產品漏洞發現頻率極高，網管必須時刻關注新漏洞公告，即時套用修補程式，建立完整的資產清單與變更管理流程，方能做到有備無患。