防範駭客 Web 攻擊六大入口：從伺服器漏洞到用戶端瀏覽器

駭客透過 Web 攻擊 Windows 系統，主要利用六大攻擊面：伺服器漏洞、虛擬主機共享、開放代理、HTML 嵌入物件、用戶端瀏覽器漏洞、跨站腳本 (XSS) 與移動程式碼。本文逐一剖析攻擊原理與對應防禦措施，構建纵深防禦體系。

六大 Web 攻擊入口與防禦

1. 伺服器漏洞
   IIS、Apache、Nginx 歷史漏洞（如 IIS 6.0 WebDAV CVE-2017-7269、Apache Struts2 S2-045）。
   防禦：自動修補、WAF 規則、停用不需模組、定期滲透測試。
2. Web 伺服器虛擬主機共享
   單一伺服器託管數百網站，一站被駭 → 橫向移動控制全台伺服器。
   防禦：網站隔離（獨立應用程式集區、獨立帳號、獨立檔案系統配額）、容器化部署、最小權限原則。
3. 開放/透明代理
   駭客控制的機器開放代理，繞過 URL 過濾、匿名攻擊內部系統。
   防禦：封鎖未授權代理埠、強制認證代理、DLP 偵測異常流量。
4. HTML 嵌入第三方物件
   網頁引入 Google Analytics、廣告聯播、CDN 腳本，若第三方被駭植入惡意碼，訪客無感染毒。
   防禦：CSP (Content Security Policy) 限制腳本來源、SRI (Subresource Integrity) 驗證檔案雜湊、定期審核第三方依賴。
5. 用戶端瀏覽器與外掛漏洞
   IE、Edge、Chrome、Firefox、Flash、Java、Acrobat Reader 歷史漏洞被利用進行「無感下載」。
   防禦：自動更新瀏覽器/外掛、停用不需外掛、啟用 EPM (Enhanced Protected Mode)、部署瀏覽器隔離方案。
6. 移動程式碼與 XSS
   JavaScript、Java Applet、.NET、Flash、ActiveX 自動執行。輸入點（留言、搜尋、表單）未過濾 → 儲存型/反射型/DOM-based XSS。
   防禦：
   
   • 輸入驗證與輸出編碼（HTML Entity Encode、JS Encode、URL Encode）。
   • HttpOnly / Secure Cookie 旗標。
   • CSP script-src 'self' 禁止內聯腳本。
   • WAF 規則攔截 XSS 向量。

綜合防禦清單

Web 攻擊面廣、變化快，唯有「持續修補、最小權限、纵深防禦、自動化稽核」四大原則，才能在駭客攻擊鏈中贏得時間與主動權。