Windows 虛擬主機安全配置實戰：目錄權限、FTP、元件封鎖與連接埠防護

前言

虛擬主機環境最常見風險：SQL 注入、上傳漏洞、弱密碼、跨站腳本 (XSS)、目錄遍歷。本文以站點 cert.ecjtu.jx.cn 為例，說明分層防護實作。

一、建立獨立 Windows 帳號

• 每站建立專屬帳號 (如 cert)。
• 移除 Users 群組，加入 Guests 群組。
• 勾選「使用者無法變更密碼」、「密碼永不過期」。

二、NTFS 目錄權限設計

1. 系統非網站目錄：移除 Guests 存取

針對 C:\, D:\, C:\perl, C:\temp, C:\MySQL, C:\php, C:\Documents and Settings, C:\Program Files\Serv-U, C:\Program Files\各類防毒軟體, C:\WINNT\system32\config, C:\WINNT\system32\inetsrv\data 等，取消 Guests 讀取/執行/寫入權限。

2. 網站根目錄 (D:\wwwsite\cert)

• Administrators：完全控制
• cert：讀取/執行/列出資料夾/讀取 (拒絕寫入/刪除)

3. 可寫目錄 (uploads、data/database)

• 單獨授予對應站點帳號 修改 或 寫入 權限。
• 關鍵：在 IIS 中將此類目錄「執行權限」設為「無/僅腳本」，防止上傳的 Web Shell 執行。

三、IIS 站點層級鎖定

1. 主目錄權限：僅勾選「讀取」、「記錄存取」，取消「寫入」、「目錄瀏覽」。
2. 應用程式對應：刪除不必要副檔名映射 (.cer, .asa, .cdx 等)；新增 .mdb 對應 ssinc.dll 防止資料庫下載。
3. 目錄安全性 → 匿名存取：編輯 → 選擇站點專屬帳號 cert，勾選「允許 IIS 控制密碼」，有效阻擋跨目錄/跨站瀏覽。
4. 自訂錯誤頁面：將 403/404/500 導向友善頁面，隱藏伺服器細節。

四、危險 COM 元件封鎖

註：修改登錄機碼後需重啟 IIS (或 iisreset) 生效。

五、FTP (Serv-U) 強化

• 修改管理員預設密碼，避免弱口令工具暴力破解。
• 安裝目錄權限移除 Everyone/Guests 寫入，防 ServUDaemon.ini 洩露/竄改。
• 啟用「阻擋 FTP Bounce 攻擊與 FXP」。
• 被動模式埠限定 4001-4003，防火牆同步開放。
• 域設定：強制複雜密碼、小寫目錄、停用 MDTM 修改檔案時間。

六、命令列與系統工具存取控制

cacls C:\WINNT\system32\cmd.exe /e /d guests
cacls C:\WINNT\system32\telnet.exe /e /d guests
在 C:\WINNT\system32\login.cmd 末尾加入 exit 禁止 Telnet 互動登入

七、連接埠與服務極簡化

• TCP/IP 篩選 / Windows 防火牆：僅開放 21, 80, 3389, 1433 等業務埠。
• 停用「Microsoft 網路檔案與印表機共享」。
• 服務 (services.msc) 停用 Telnet、Remote Registry 等非必要服務。

八、持續營運建議

• 訂閱安全公告，定期部署 OS/IIS/MySQL/PHP 補丁。
• 啟用稽核原則：登入/登出、物件存取失敗、特權使用失敗。
• 部署入侵偵測 (IDS/IPS) 或主機型防護 (HIDS)。

結語

虛擬主機安全核心在於「最小權限原則」與「纵深防禦」：帳號隔離 → NTFS 鎖定 → IIS 應用層過濾 → 元件封鎖 → 連接埠收斂 → 持續修補。逐項落實可將入侵風險降至最低。