Windows Server 2003 企業級安全強化實戰：NTFS 權限、IIS 隔離與 FTP 防護全方位部署

前言：打造鐵壁般的伺服器防線

網路上流傳的 Windows Server 2003 安全設定教學眾多，但許多內容不夠完整，甚至存在配置盲點與潛在風險。本文針對需同時支援 ASP、ASPX、CGI、PHP、FSO、JMail、MySQL、SMTP、POP3、FTP、終端服務（3389）、遠端桌面 Web 管理等服務的實際生產環境，提出一套經實戰驗證的極致安全強化方案，助網管人員建立高可用、低風險的伺服器基礎設施。

一、NTFS 磁碟權限精細化管控

系統磁碟（C:）核心原則

僅授予 Administrators 群組與 SYSTEM 完全控制權限，移除所有其他預設群組（Users、Everyone 等）。保留 SYSTEM 權限係因部分第三方服務需以 Local System 身分啟動，移除恐導致服務啟動失敗。

Windows 目錄必要權限

必須 為 Users 群組保留預設讀取/執行權限，否則 ASP/ASPX 應用程式將無法正常運作。無需單獨設定 Inetsrv、Temp 等子目錄，繼承父目錄權限即可。

Documents and Settings 關鍵防護

此目錄權限不繼承 C 盤設定，極易被忽略。All Users\Application Data 預設常有 Everyone 完全控制，攻擊者可植入腳本結合其他漏洞（如 Serv-U 溢出、資料庫弱點、社交工程）提權至 SYSTEM。建議採取「鎖死」策略：

• 所有磁碟分區目錄僅授予 Administrators 完全控制
• 移除 Everyone、Users 等非必要主體
• 關鍵系統執行檔（net.exe、cmd.exe、tftp.exe、netstat.exe、regedit.exe、at.exe、attrib.exe、cacls.exe）僅允許 Administrators 存取

二、服務與網路協定精簡

• 停用所有非業務必要服務，遵循「最小權限、最小暴露面」原則
• 網路連線僅保留 TCP/IP 協定，額外安裝 QoS 封包排程器用於頻寬控制
• TCP/IP 進階設定：停用 NetBIOS over TCP/IP
• 啟用 Windows 內建「網際網路連線防火牆」（ICF）實現基礎連接埠屏蔽，達到類 IPSec 效果

三、Windows 防火牆連接埠策略

不建議使用 TCP/IP 篩選：FTP 協定特性（Port/Passive 模式動態高連接埠）導致 TCP/IP 篩選常造成「連線成功但無法列目錄/傳輸資料」。Windows 防火牆具備狀態檢測，能正確處理 FTP 動態連接埠，為最佳選擇。

依業務需求精確開放連接埠：HTTP(80)、HTTPS(443)、FTP(21)、SMTP(25)、POP3(110)、RDP(3389)等。

四、Serv-U FTP 伺服器安全硬化

版本選擇與管理帳號防護

雖 Serv-U 歷史漏洞頻出，但操作便利性使其普及。建議：

• 使用 6.0+ 版本（修復 5.x 程式體修改密碼/連接埠漏洞）
• 設定強複雜度管理密碼，並定期輪換
• 避免在可執行目錄下留有 Webshell，防範本地 Sniffing 竊取管理密碼

核心安全選項啟用

• 封鎖 FTP Bounce 攻擊與 FXP：防止惡意用戶利用 PORT 指令讓 FTP 伺服器連向第三方主機（跨伺服器攻擊）
• 封鎖防逾時機制：防止連線佔用
• 進階 → 啟用安全性：強制啟用所有安全檢查

五、IIS 6.0 深度防護架構

目錄與映射清理

• 刪除 C:\Inetpub 預設目錄
• 移除不必要的 IIS 指令碼對應（如 .idq、.htw、.ida 等）

應用程式池隔離與身分識別

• 每個 Web 站點建立專屬 IIS 匿名使用者帳號（如 www.example.com，歸屬 Guests 群組）
• 站點目錄僅授予該 IIS 使用者「讀取」與「寫入」（上傳目錄）權限
• 應用程式池身分識別保持預設「網路服務」（最低權限原則）
• 建議 10 個站點共用一應用程式池，每日凌晨回收工作進程

執行權限精細控制

• 網站根目錄：純指令碼
• 上傳目錄（uploadfile）、資料庫目錄、圖片目錄：無（禁止執行任何指令碼）
• 透過 IIS「應用程式設定」逐目錄設定，有效遏制上傳漏洞植入 Webshell

ASP/ASPX/PHP/CGI 模組最小化啟用

• ASP、ASPX 預設支援，於 Web 服務擴展設為「允許」
• PHP：新增指令碼對應 .php → C:\php\sapi\php4isapi.dll，Web 服務擴展新增並允許
• CGI：同理新增對應與擴展允許
• ASPX 需網站根目錄授予 Users 預設權限始能執行

錯誤訊息與偵錯資訊隱藏

• 應用程式設定 → 偵錯 → 「傳送自訂文字給用戶端」：防止 ASP 注入攻擊利用錯誤回顯資訊
• 自訂 HTTP 錯誤：至少設定 404 錯誤頁面，生產環境建議隱藏 500 詳細錯誤

六、資料庫檔案存取控制終極方案

Access (.mdb) 資料庫防下載

Access 資料庫檔案若置於 Web 目錄下且具寫入權限，一旦路徑洩露即成「超級 Webshell」。解決方案：

1. 資料庫目錄於 IIS 設定「執行權限：無」
2. IIS 指令碼對應新增 .mdb 對應至任意非 ASP 的 DLL（如 asp.dll 以外的系統 DLL）
3. 結果：直接請求 .mdb 檔案將由非 ASP 處理器回應，無法下載原始檔案，亦無法執行內嵌 ASP 代碼

此為防止資料庫被下載的終極對策，配合 NTFS 權限雙重保險。

七、持續安全運營建議

• 定期審核 NTFS 權限與 IIS 執行權限設定
• 監控 Windows 事件日誌（安全、系統、應用程式）異常登入與存取
• 訂閱 Microsoft 安全公告，及時部署修補程式
• 實施離線備份與異地容災演練
• 建立變更管理流程，所有配置調整留存紀錄

結語

安全非一蹴而就，而是持續的過程。本文提供的 NTFS 權限鎖死、IIS 隔離架構、FTP 強化、資料庫防下載等實戰配置，構成了 Windows Server 2003 多服務共存環境下的纵深防禦體系。網管人員應依實際業務調整細節，並建立定期稽核機制，確保防護態勢持續有效。