Windows Server 2003 被入侵後的緊急修復實錄：WebShell 清除、權限稽核與系統加固

接手某校網站伺服器發現可疑檔案，確認遭入侵。本文記錄完整修復流程，供同類情況參考。

環境基線

• Windows Server 2003 + IIS 6.0，NTFS 權限正常。
• PCAnywhere 10.0 遠端管理。
• 動力文章系統 3.51 (含上傳漏洞未修補)、動網論壇 7.0 SP2。
• IIS 6.0 未啟用日誌記錄。

修復步驟

1. 備份現有 Web 目錄與資料庫 (供事後鑑證)。
2. 時間軸搜尋：以最早可疑檔案建立時間為基準，搜尋其後建立/修改的所有檔案。大量發現偽裝 .gif/.jpg/.asp/.cer 的 WebShell，全數備份刪除。
3. 工具掃描：安裝防毒軟體全盤掃描，清除殘留 WebShell；檢查本地帳戶、C 槽異常檔案，未發現提權木馬。
4. 程式碼審計：發現正常 .asp 檔被植入竊取管理員明文密碼代碼、動鮫/icefox/海洋等加密一句話木馬。
5. 徹底重建：刪除整個 Web 目錄，還原數月前乾淨備份，匯入最新資料庫，移除上傳元件、加入防注入代碼、修改所有管理帳密。
6. 周邊加固：升級 PCAnywhere 11.0 並限制 IP、啟用 IIS 6.0 日誌、移除無法聯繫的掛接站點。

入侵路徑分析

• 攻擊者利用動力文章上傳漏洞取得 WebShell，嘗試上傳 cmd.exe、2003.bat、xp3389.exe 開啟 3389 埠，但 NTFS 權限設定良好導致提權失敗。
• PCAnywhere 密碼檔 (*.cif) 預設 Everyone 可讀 (All Users\Application Data\Symantec)，可能已被竊取，但主機長期鎖定狀態阻礙遠端登入。
• PCAnywhere 會佔用 3389 關鍵檔案，導致終端服務無法啟動，間接保護了系統。

關鍵教訓

1. Web 應用程式必須及時修補已知漏洞。
2. IIS 日誌務必啟用，並定期審計異常請求。
3. 遠端管理工具 (PCAnywhere、RDP、VNC) 必須強密碼 + IP 限制 + 非常用埠。
4. 應用程式目錄權限遵循最小權限原則，寫入目錄不可執行，執行目錄不可寫入。
5. 定期離線備份與完整性檢核 (如 Tripwire、AIDE)。