IIS 安全設定核心技巧：從作業系統加固到 Web 服務鎖定

前言

新裝 NT4/Win2000 並打滿補丁仍不等於安全。需從作業系統層面建立防禦深度，再鎖定 IIS 本身。

一、以 Windows NT/2000 安全機制為基礎

1. 修補程式與檔案系統： NT 打 SP6、2K 打 SP2；**磁碟轉換 NTFS**，移除 Everyone 寫入/修改權限，關鍵目錄 (如 Winnt\Repair) 甚至移除讀取權限
2. 共享權限收斂： NT 用系統原則編輯器取消網路共享勾選；2K 寫 net share c$ /delete 批次檔放入啟動項
3. 管理員帳號重命名與強密碼： 重新命名 Administrator，密碼 10 位以上含大小寫數字符號
4. 停用 TCP/IP 上的 NetBIOS： 網路屬性綁定選項中解除 NetBIOS 與 TCP/IP 綁定
5. 異機部署資料庫： 避免同機安裝資料庫；若必須同機，**資料庫密碼絕不可與系統登入密碼相同**

二、IIS 安全機制設定

1. 防 DoS 緩衝區溢位： 登錄表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W3SVC\Parameters 新增 DWORD MaxClientRequestBuffer，十進位設定允許最大 URL 長度 (CNNIC 設 256)
2. 移除 HTR 腳本對應
3. 封鎖 /_vti_bin 目錄遠端存取
4. 移除 htw 與 webhits.dll 應用程式對應
5. Win2000 安裝 Q256888_W2K_SP1_x86_en.EXE 修補程式
6. 刪除 c:\Program Files\Common Files\System\Msadc\msadcs.dll
7. 停用/移除 Index Server，或至少禁止敏感目錄編入索引
8. 修補 Unicode 漏洞： 2K 裝 2kunicode.exe、NT 裝 ntunicode86.exe

持續安全觀念

微軟產品漏洞最多，**網管必須持續關注新漏洞、及時打補丁、做到有備無患**。以上設定只是基線，非一勞永逸。