建構高安全性 IIS Web 伺服器：從 OS 硬化到應用層防禦全攻略

核心觀念：雙重防禦體系

IIS 安全 = Windows OS 硬化 + IIS 自身防禦。IIS 使用者即 Windows 使用者，目錄權限依賴 NTFS，因此 OS 層面未鎖緊，IIS 再強也白費。

第一階段：Windows 2000 作業系統硬化

1. 強制使用 NTFS 檔案系統：支援檔案/目錄級 ACL，FAT/FAT32 完全不具備安全性。
2. 關閉預設共享：
   登錄檔 HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters 新增 AutoShareServer=0 (REG_DWORD)。
3. 修改共享權限：新增共享後立即移除 Everyone 完全控制，遵循最小權限原則。
4. 重命名 Administrator 帳號：
   「電腦管理」→「本地使用者」→ 右鍵 Administrator → 重新命名為無特徵名稱 (如 guestone)，避免暴力破解鎖定目標。
5. 停用 TCP/IP 上的 NetBIOS：
   「網路連線」→「區域連線」→「內容」→「Internet 通訊協定 (TCP/IP)」→「進階」→「WINS」→ 勾選「停用 NetBIOS」。
6. 啟用 TCP/IP 篩選，僅開放 80 埠：
   同介面「選項」→「TCP/IP 篩選」→「內容」→ 選「只允許」→ 新增 TCP 80。
7. 調整登錄檔緩解 DoS：
   HKLM\System\CurrentControlSet\Services\Tcpip\Parameters\SynAttackProtect = 2，加速逾時回應。

第二階段：IIS 安全安裝原則

1. 勿安裝在系統磁碟 (C:)：網站資料與作業系統隔離，限制攻擊波及範圍。
2. 修改預設安裝路徑：避開 C:\Inetpub，降低自動化攻擊腳本命中率。
3. 安裝前打齊所有安全更新：離線安裝補丁包，上線前即具備基線防護。

第三階段：IIS 安全配置實戰

1. 刪除不必要的虛擬目錄

預設產生的 IISHelp、IISAdmin、IISSamples、MSADC 等均無實際用途，直接刪除，減少攻擊面。

2. 移除高風險 IIS 元件

「新增/移除 Windows 元件」→「應用程式伺服器」→「Internet 資訊服務」→ 取消勾選：
「Internet 服務管理員 (HTML)」、「SMTP 服務」、「NNTP 服務」、「範例網頁/指令碼」。
原則：不用的不裝，裝了的必須打補丁。

3. 依檔案類型分目錄授權 (NTFS + IIS 雙重)

4. 清理不必要的應用程式對應

站點屬性→「主目錄」→「設定」→「應用程式對應」：
除 .asp、.aspx、.php (若用) 外，全部刪除。
若未來需啟用，務必勾選「驗證檔案是否存在」，避免任意路徑觸發 DLL。