Windows Server 2003 防洩密實戰：九大預設風險徹底封鎖指南

前言

Windows Server 2003 雖以安全著稱，但出廠預設仍存多處洩密隱患。本文針對密碼快取、IE 瀏覽痕跡、簡單檔案共享、錯誤報告、惡意網頁共享、事件日誌存取、預設帳號、IE 安全區域、閒置服務、分頁檔殘留十大風險點，提供逐步封鎖操作。

一、 禁止密碼自動快取（切斷註冊表通道）

1. Win+R → regedit
2. 定位 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\policies
3. 若無 Network 子鍵，右鍵新建 → 項 → 命名 Network
4. 在 Network 右側新建 DWORD 值 DisablePasswordCaching = 1
5. 重啟生效

二、 統一超連結顏色（抹除 IE 瀏覽痕跡）

1. IE → 工具 → 網際網路選項 → 一般 → 輔助功能 → 勾選「不使用網頁指定顏色」
2. 再點「顏色」按鈕 → 勾選「使用 Windows 顏色」→ 將「已拜訪」與「未拜訪」連結顏色設為相同

三、 關閉簡單檔案共享（封鎖區域網洩密）

我的電腦 → 工具 → 資料夾選項 → 檢視 → 取消勾選「使用簡單檔案共享」。需共享時再暫時開啟。

四、 禁用錯誤報告（防隱私上傳微軟）

法一（GUI）：控制台 → 系統 → 進階 → 錯誤報告 → 勾選「禁用錯誤報告」+「嚴重錯誤時通知我」。
法二（服務）：msconfig → 服務 → 取消勾選 Error Reporting Service → 重啟。

五、 杜絕惡意網頁非法共享本地硬碟

1. regedit 定位 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Network\LanMan，若存在 RWC$ 值立即刪除（表示已被非法共享）。
2. 刪除 %SystemRoot%\System32\Vserver.vxd（檔案/列印共享虛擬裝置驅動）。
3. regedit 刪除 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\Vserver 項。
4. 重啟後，任何網頁皆無法建立隱藏共享。

六、 限制 Guest/匿名帳號讀取事件日誌

分別在三個日誌分支下新建 DWORD RestrictGuestAccess = 1：

• HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Application
• HKLM\SYSTEM\CurrentControlSet\Services\EventLog\System
• HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security

七、 停用/重命名預設帳號（斷絕暴力破解入口）

1. 控制台 → 管理工具 → 電腦管理 → 本地用戶和組 → 使用者
2. Guest：確認已停用，並重命名、設複雜密碼
3. Administrator：重命名、設超長密碼 → 新增一個屬 Administrators 組的新帳號做日常管理 → 再禁用 Administrator

八、 將「我的電腦」納入 IE 安全區域（阻擋網頁存取本地檔案）

1. regedit 定位 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0
2. 新建二進位值 Flags = 1
3. 重啟 IE → 工具 → 網際網路選項 → 安全 → 出現「我的電腦」圖示
4. 選中「我的電腦」→ 自訂等級 → 「執行 ActiveX 控制項與外掛程式」「下載 ActiveX 控制項」均設「停用」

九、 關閉非必要服務（縮減攻擊面）

服務管理單元中建議停用：

• Remote Registry（遠端修改註冊表）
• Telnet
• Error Reporting Service
• NetMeeting Remote Desktop Sharing
• 其他視業務需求而定

操作：雙擊服務 → 啟動類型「手動」→ 停止。

十、 關機自動清除分頁檔（防殘留資料被取證）

1. regedit 定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
2. 新建/修改 DWORD ClearPageFileAtShutdown = 1
3. 重啟生效，關機時自動清零 pagefile.sys

結語

安全無絕對，唯有「最小權限、最小服務、最小洩露」三原則貫徹始終。上述十項設定雖繁瑣，卻能將 Server 2003 的預設洩密面壓縮至極致。建議完成後掃描開放埠、審核啟動項、備份註冊表，建立基準快照，持續維運。