Windows 2003 VPS 硬核安全加固 11 步驟：從禁用共享到資料庫防護

前言：安全無小事，防患於未然

針對 Windows 2003 VPS 環境，整理出 11 項關鍵加固措施，涵蓋系統、IIS、資料庫、網路等層面。請逐項檢查落實，建立纏深防禦體系。

一、徹底禁用預設共享 (C$, D$, ADMIN$, IPC$ 等)

方法 1：批次檔加入啟動項（簡單直接）

建立 disable_shares.bat，內容如下，放入「啟動」資料夾：

net share c$ /del
net share d$ /del
net share e$ /del
net share f$ /del
net share ipc$ /del
net share admin$ /del

方法 2：修改登錄檔（永久生效，需備份登錄檔）

路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
新建 DWORD 值：AutoShareServer = 0

二、遠程桌面連線權限鎖定

「系統管理工具」→「終端機服務設定」→「連線」→ 右鍵 RDP-Tcp →「屬性」→「權限」：

• 移除所有使用者，僅保留 SYSTEM 與 Administrator（注意：是具體帳號 Administrator，而非 Administrators 群組）。
• 兩者權限設為「完全控制」。

效果：即使駭客建立新管理員帳號，也無法透過遠程桌面登入。

三、Serv-U 管理密碼務必設定

開啟 Serv-U →「本地伺服器」→ 右側「設定/變更密碼」→ 舊密碼留空（首次）→ 設定強複雜密碼。
未設密碼極易被提權！

四、關閉高風險連接埠 139 / 445

關閉 139 (NetBIOS)

「網路連線」→「區域連線」→「內容」→ 取消勾選「Microsoft 網路用戶端」與「Microsoft 網路檔案和印表機共享」→「Internet 通訊協定 (TCP/IP)」→「內容」→「進階」→「WINS」→「停用 NetBIOS」。

關閉 445 (SMB) - 需修改登錄檔

路徑：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\netBT\Parameters
新建 DWORD：SMBDeviceEnabled = 0

五、移除高風險 COM 元件

ASP 木馬常惡用 WScript.Shell、Shell.Application。執行以下指令取消註冊：

regsvr32 /u wshom.ocx
regsvr32 /u shell32.dll
regsvr32 /u %windir%\system32\Wshext.dll

六、IIS 網站目錄權限精細化（核心防禦）

1. 每站點建立專屬系統帳號

「電腦管理」→「本地使用者和群組」→「使用者」→「新增使用者」，例如 web_site1，設強密碼。

2. 設定網站資料夾 NTFS 權限

• 移除所有繼承權限，僅保留：
• Administrator（完全控制）
• SYSTEM（完全控制）
• web_site1（讀取、執行、列出資料夾、讀取、寫入）

進階→勾選「用這些可繼承的權限項目取代所有子物件權限項目」→ 套用等待傳遞完成。

3. 設定 IIS 匿名存取身分

站點屬性→「目錄安全性」→「編輯」→ 匿名存取帳號選擇 web_site1，密碼同步。

4. 站點主目錄權限最小化

• 僅勾選：讀取、記錄造訪、索引資源。
• 執行權限：純指令碼（不可選「指令碼和執行檔」）。

ASP.NET 特別說明：需給 IIS_WPG 群組權限；上傳目錄「執行權限=無」+「寫入=允許」，防止上傳惡意腳本執行。
純靜態站點：執行權限設為「無」。

七、SQL Server / MySQL 資料庫加固

• 強制設定強密碼（sa/root 等預設帳號）。
• 移除擴展預存程序 xp_cmdshell（OS 命令執行後門）：

USE master
EXEC sp_dropextendedproc 'xp_cmdshell'

如需恢復：
EXEC sp_addextendedproc 'xp_cmdshell', 'xplog70.dll'

八、防止 Access (.mdb) 資料庫被直接下載

IIS 屬性→「主目錄」→「設定」→「對應」→「應用程式副檔名」新增 .mdb，對應一個未被使用的 DLL（切勿用 asp.dll），使 IIS 將 .mdb 視為可執行檔而非靜態檔案，從而阻擋直接下載。