Web 伺服器直接面對網路攻擊，Windows Server 2003 預設安裝存在多處風險。本文整理六大面向 30+ 項具體加固動作，涵蓋修補程式、防毒、防火牆、NTFS/IIS 權限、服務精簡、危險元件移除/改名、稽核原則，可作為上線前驗收清單。
1. 安裝修補程式與防毒軟體
- 安裝 SP2 + 所有關鍵更新（Windows Update / WSUS）。
- 防毒軟體建議：瑞星（查木馬強）或 Norton。
注意： 裝瑞星後若 ASP 動態頁無法存取，關閉即時監控/腳本監控，CMD 執行：
regsvr32 jscript.dll
regsvr32 vbscript.dll 修復 DLL 註冊。
2. Windows 防火牆僅開放必要連接埠
「網路連線」→ 右鍵「區域連線」→「內容」→「進階」→「設定」→ 勾選：
- FTP 伺服器 (21)
- Web 伺服器 (HTTP, 80)
- 遠端桌面 (3389)
- 其他業務連接埠按「新增」自訂。
關鍵： 遠端管理前必須確認 3389 已開放，否則將自我斷連。
3. NTFS 權限最小化原則
| 路徑 | 僅授予完全控制 |
|---|
| 系統盤根目錄、所有磁碟根目錄 | Administrators, SYSTEM |
| \Documents and Settings | Administrators, SYSTEM |
| \Documents and Settings\All Users | Administrators, SYSTEM |
| \Inetpub (網站根目錄) | Administrators, SYSTEM |
| \Windows\System32\cacls.exe, cmd.exe, net.exe, net1.exe | Administrators, SYSTEM |
IIS 匿名使用者 (IUSR_*)： 僅授予網站虛擬目錄「讀取/執行腳本」，嚴禁寫入、列出目錄、執行 cmd.exe 等高風險權限。
4. 停用不必要的服務
services.msc → 停用並設「手動/停用」：
- Print Spooler（非列印伺服器）
- Remote Registry
- TCP/IP NetBIOS Helper
- Server（非檔案共享伺服器）
預設停用的服務若無業務需求**勿啟用**。
5. 危險 COM 元件處理：移除或改名
最高風險： WScript.Shell、Shell.Application、WScript.Network — 可執行任意 .exe、提權、存取檔案系統。
移除批次檔 (註冊反向 + 刪檔)：
regsvr32 /u C:\WINDOWS\System32\wshom.ocx
del C:\WINDOWS\System32\wshom.ocx
regsvr32 /u C:\WINDOWS\system32\shell32.dll
del C:\WINDOWS\system32\shell32.dll
重開機後三元件皆顯示「安全 ✗」。
改名法（保留功能但阻擋腳本調用）：
匯出登錄檔 HKEY_CLASSES_ROOT\CLSID\{13709620-C279-11CE-A49E-444553540000} 與 HKEY_CLASSES_ROOT\Shell.Application → 修改 CLSID 最後一位、ProgID 附加尾碼（如 Shell.Application_ajiang）→ 刪除原鍵值 → 匯入修改後 .reg。
注意： CLSID 僅允許 0-9、A-F，長度固定。
6. 防止列舉使用者群組與進程、防範 Serv-U 提權
- 停用 Workstation 服務 → 封鎖
GetObject("WinNT:") 列舉本機帳戶/群組。
- Serv-U：UltraEdit 開啟
ServUDaemon.exe、ServUAdmin.exe 搜尋 LocalAdministrator、#l@$ak#.lk;0@P 替換為等長亂碼。
IIS 匿名使用者**不可**讀取 Serv-U 安裝目錄，防止下載修改後二進位分析管理員帳密。
7. ASP 應用層面防護
- 關閉不必要的上傳功能；上傳目錄**移除執行權限**（僅寫入）。
- 資料庫檔案（Access .mdb）必須改名、移出網站目錄、或改用 SQL Server。
- 論壇/CMS 後台強制複雜密碼、限制登入失敗次數、啟用驗證碼。
- 定期掃描網站目錄
.asp/.asa/.cer 等可執行腳本，清除不明檔案。
8. 稽核原則與日誌集中化
secpol.msc →「稽核原則」→ 啟用：
- 稽核登入事件（成功/失敗）
- 稽核物件存取（失敗）
- 稽核原則變更
- 稽核程序追蹤
安全性日誌設定：最大 128MB、覆寫舊事件、定期匯出至 SIEM/集中日誌伺服器。
部署建議
- 先在測試環境套用全套清單，驗證業務功能零影響。
- 建立基準映像，新增伺服器直接部署映像+差異設定。
- 每月執行一次滲透測試與設定基線掃描，持續收斂攻擊面。
