Windows Server 2003 網路伺服器安全配置實戰指南：IIS、FTP、郵件、資料庫全方位加固

針對執行 IIS 6.0、Serv-U FTP、IMAIL 郵件、SQL Server 2000、MySQL、PHP 等服務的 Windows Server 2003 綜合應用伺服器，資深專家提供 12 大面向的實戰加固配置，涵蓋連接埠管制、帳號管理、目錄權限、Web 應用防護、資料庫強化、系統元件移除、審計追蹤等核心領域。

1. Windows 本機安全性原則 - 連接埠篩選

入站規則（僅開放必要）：

• TCP 80 (HTTP)、20/21 (FTP)、PASV 被動模式埠範圍
• TCP 25 (SMTP)、110 (POP3)、3389 (RDP)
• TCP 1433 (SQL Server)、3306 (MySQL)

出站規則（最小必要）：

• 若無郵件服務：關閉 TCP/UDP 53 (DNS)、TCP 25
• 若伺服器無需主動瀏覽網頁：關閉 TCP 80 出站

預設拒絕：所有未明確允許的入站連線 → 阻擋。

2. 帳號管理強化

• 重新命名 Administrator → 如 root（非預設名稱）
• 停用 Guest，重新命名為 Administrator 並設定強密碼（蜜罐帳號）
• 除 root、IUSR_*、IWAM_*、aspnet 外，停用所有內建帳號（含 SQL Debug、Terminal User 等）
• 移除所有非管理員使用者的「遠端控制」與「終端機服務登入」權限

3. 目錄與 NTFS 權限最小化

• 所有磁碟分割區：僅 Administrators、SYSTEM 完全控制
• C:\Program Files\Common Files、C:\Windows → Everyone 僅「讀取/執行/列出」
• C:\Windows\Temp → Everyone「修改/讀取/執行/列出/寫入」
• Web 站點根目錄：
  Administrators/SYSTEM 完全控制
  匿名使用者（IUSR） → 僅「讀取/執行/列出/遍歷」，移除寫入/修改/完全控制
• 論壇/上傳目錄：移除匿名使用者「執行」權限，僅保留「讀取/寫入」→ 防 WebShell 執行

4. IIS 6.0 深度加固

• 不使用預設網站，或將網站根目錄移至非系統碟
• 刪除 C:\Inetpub 及預設虛擬目錄（_vti_bin, iissamples, scripts, iishelp, iisadmin, msadc）
• 移除不必要副檔名對應：.shtml, .shtm, .stm, .idq, .htw, .ida, .idc, .htr, .printer
• 安裝 URLScan 3.1，[DenyExtensions] 新增：.cer, .cdx, .mdb, .bat, .cmd, .com, .htw, .ida, .idq, .htr, .idc, .shtm, .shtml, .stm, .printer
• 調整 IIS 日誌路徑至非系統碟，啟用 W3C 擴充格式

5. Web 目錄權限隔離

每個客戶站點建立專屬 Windows 使用者，IIS 匿名使用者綁定該使用者，目錄權限如上所述。論壇上傳目錄移除執行權限。

6. SQL Server 2000 移除危險擴展預存程序

查詢分析器執行：

USE master
EXEC sp_dropextendedproc 'xp_cmdshell'
EXEC sp_dropextendedproc 'xp_dirtree'
EXEC sp_dropextendedproc 'xp_enumgroups'
EXEC sp_dropextendedproc 'xp_fixeddrives'
EXEC sp_dropextendedproc 'xp_loginconfig'
EXEC sp_dropextendedproc 'xp_enumerrorlogs'
EXEC sp_dropextendedproc 'xp_getfiledetails'
EXEC sp_dropextendedproc 'sp_OACreate'
EXEC sp_dropextendedproc 'sp_OADestroy'
EXEC sp_dropextendedproc 'sp_OAGetErrorInfo'
EXEC sp_dropextendedproc 'sp_OAGetProperty'
EXEC sp_dropextendedproc 'sp_OAMethod'
EXEC sp_dropextendedproc 'sp_OASetProperty'
EXEC sp_dropextendedproc 'sp_OAStop'
EXEC sp_dropextendedproc 'xp_regaddmultistring'
EXEC sp_dropextendedproc 'xp_regdeletekey'
EXEC sp_dropextendedproc 'xp_regdeletevalue'
EXEC sp_dropextendedproc 'xp_regenumvalues'
EXEC sp_dropextendedproc 'xp_regread'
EXEC sp_dropextendedproc 'xp_regremovemultistring'
EXEC sp_dropextendedproc 'xp_regwrite'
DROP PROCEDURE sp_makewebtask
GO

7. 系統執行檔權限鎖定

• cmd.exe、net.exe → 僅 root（重新命名後的管理員）可讀取/執行
• 可選：使用自訂 comlog.exe 替換 cmd.exe 記錄所有命令列操作

8. 備份常態化

• ntbackup 排程備份系統狀態
• reg.exe export HKLM\SOFTWARE\ODBC E:\Backup\System\odbc.reg /y 等關鍵登錄分支備份

9. 防毒與即時監控

• McAfee/Norton 企業版：規則阻擋 C:\Windows 建立 .exe/.dll、排程每日掃描 Web 目錄、啟用即時監控

10. 停用非必要服務

• Computer Browser、Help and Support、Messenger、Print Spooler、Remote Registry、TCP/IP NetBIOS Helper、Server（非檔案伺服器）
• 非網域控制器：停用 Workstation

11. 移除/改名高風險 COM 元件

• FSO：regsvr32 /u scrrun.dll
• WSH/Shell：刪除/改名 HKCR\WScript.Shell、WScript.Network、Shell.Application 及對應 CLSID

12. 啟用完整審計追蹤

本機安全性原則 → 審核原則 → 全部啟用「成功/失敗」：原則變更、系統事件、帳號登入、帳號管理。

執行建議

將上述 12 項轉為核核清單，分階段實施（先網路/帳號/權限，再應用/資料庫/元件），每階段驗證業務功能無影響後再進入下階段。記錄所有變更以利稽核與回滾。