Windows Server 2003 極致安全加固實戰：NTFS 權限、註冊表、服務、IPC$ 五大防線全佈防

支援組件前提

ASP/ASPX/CGI/PHP/FSO/JMail/MySQL/SMTP/POP3/FTP/3389/RD Web Access 等已就緒，著重安全配置。

防線一：NTFS 磁碟權限收斂

• C: 僅保留 Administrators、SYSTEM (第三方服務需求)；移除 Users/Everyone。
• C:\Windows 必須給 Users 讀取/執行，否則 ASP/ASPX 失效；Inetsrv、Temp 單獨設權限非必要。
• C:\Documents and Settings 下 All Users\Application Data 常見 Everyone 完全控制 → 必須鎖死，防寫入 WebShell 提權鏈。
• 所有非系統槽同樣原則：僅 Administrators 完全控制。

防線二：高危執行檔存取控制

以下檔案僅允許 Administrators 存取：
net.exe, cmd.exe, tftp.exe, netstat.exe, regedit.exe, at.exe, attrib.exe, cacls.exe

防線三：服務最小化

禁用所有非業務必要服務，縮減攻擊面；參考「安全基準清單」逐項核對。

防線四：註冊表/審核/連接埠/帳號強化

• 修改終端服務埠 (預設 3389) → 非標準高埠。
• 啟用審核原則：成功/失敗登入、物件存取、原則變更。
• MS-SQL：刪除危險擴展預存程序 (xp_cmdshell 等)、以 public 最低權限連線。

防線五：IPC$ 多層封鎖 (詳見 ID 45270 第 17 章)

1. RestrictAnonymous = 1 限制匿名列舉。
2. 註冊表 AutoShareServer=0, AutoShareWks=0 禁用預設共享。
3. 停用 Server 服務 (徹底斷開 IPC$/檔案共享)。
4. 防火牆/TCP 篩選/IPsec 封鎖 139/445。
5. 全帳號強制複雜密碼 + 帳號鎖定門檻。

驗證清單

• net share 確認無 C$/D$/ADMIN$/IPC$。
• net use \\IP\IPC$ 應提示存取被拒/找不到網路路徑。
• 掃描器掃 139/445 無回應。

此配置經實戰驗證，可抵禦絕大多數自動化掃描、WebShell 提權、IPC$ 暴力破解等常見攻擊鏈。