Web 專用伺服器安全加固實戰：IIS、ASP、PHP、MySQL、Serv-U 全方位防護

核心原則：最小權限、縮小攻擊面、深度防禦

一、IIS 基礎加固

• 刪除預設網站與虛擬目錄，停用預設站點，移除 C:\inetpub 目錄。
• 設定連線數限制、頻寬節流、效能參數。
• 應用程式對應：僅保留必要副檔名，移除不需的擴充（.idq、.htw 等）。
• PHP/CGI 採用 ISAPI/FastCGI 模式，避免 CGI 執行檔直呼影響效能與安全。
• 錯誤頁面：關閉詳細錯誤訊息（display_errors = Off），自訂 403/404/500 頁面隱藏伺服器資訊。
• 修改 IIS Banner（HTTP 標頭 Server），使用 UrlScan 或自訂模組隱藏版本號。
• 日誌：調整記錄欄位、設定專用儲存路徑、定期歸檔分析。

二、目錄結構與 NTFS 權限規劃

建議每站點根目錄下建立三層結構：

wwwroot/   ← 網站程式碼（唯讀+執行，無寫入）
database/  ← 資料庫備份檔（唯讀，嚴禁網頁直連）
logfiles/  ← 站點日誌（寫入，無執行）

• 圖片/靜態資源目錄：僅給「列出目錄/讀取」，移除「寫入/執行」。
• 程式目錄：不需產生檔案時移除「寫入」；需產生靜態頁面時僅給特定子目錄寫入。
• 上傳目錄：給「寫入」，但嚴禁「執行」（Handler Mappings 移除腳本處理器），防止上傳木馬執行。

三、ASP 環境防木馬

註冊/刪除危險 COM 元件（需重啟 IIS 生效）：

regsvr32 /u C:\Windows\System32\wshom.ocx
del C:\Windows\System32\wshom.ocx
regsvr32 /u C:\Windows\System32\shell32.dll
del C:\Windows\System32\shell32.dll

此舉卸載 WScript.Shell、Shell.Application、WScript.Network，有效阻斷 ASP 木馬執行命令、列目錄、竊取系統資訊。
FSO (scrrun.dll) 若業務需求必須保留，可用 NTFS 權限分組控管：需用組給予執行權限，無需組移除權限。

四、PHP 關鍵 php.ini 硬化設定

; 權限
C:\Windows\php.ini → Users 唯讀

; 核心安全參數
safe_mode = On
register_globals = Off
allow_url_fopen = Off
display_errors = Off
magic_quotes_gpc = On
open_basedir = "網站實體路徑"   ; 限制跨目錄存取
disable_functions = passthru,exec,shell_exec,system,phpinfo,get_cfg_var,popen,chmod
com.allow_dcom = false

五、MySQL 資料庫加固

• 刪除所有預設帳號，僅保留 root@localhost，設定高強度密碼。
• 業務帳號：僅授予特定資料庫的 SELECT,INSERT,UPDATE,DELETE,CREATE,DROP,ALTER，嚴禁 SHUTDOWN,RELOAD,PROCESS,FILE 權限，更不可授予 mysql 系統庫操作權限。
• 資料目錄 (data/) 僅限 MySQL 服務帳號讀寫。
• 啟用 skip-networking 或 bind-address=127.0.0.1 禁止遠端直連（改用 SSH Tunnel）。

六、Serv-U FTP 伺服器加固

• 安裝最新版、非預設路徑、設定複雜管理員密碼、修改 Banner 隱藏版本。
• 被動模式埠範圍縮小（如 4001-4003），防火牆僅開放此範圍。
• 本地伺服器設定：檢查匿名密碼、停用反逾時、攔截 FTP Bounce 與 FXP 攻擊、連線頻率限制（30 秒 3 次封鎖 10 分鐘）。
• 域設定：強制複雜密碼、目錄僅小寫、進階取消 MDTM 命令修改檔案時間。
• 服務啟動帳號：建立專用低權限帳號（不屬於任何群組），給予 Serv-U 安裝目錄與 FTP 根目錄「完全控制」，上層目錄給「讀取/列出」，移除其他繼承權限。

七、持續運維建議

• 定期套用作業系統與軟體安全更新。
• 部署 WAF（Web 應用防火牆）或 ModSecurity 規則集。
• 啟用稽核日誌，導入 SIEM 或日誌分析平台。
• 定期滲透測試與弱點掃描，建立應變演練機制。