Windows Server 2003 遭入侵後的完整修復與防護實戰紀錄

前言

因工作關係接觸伺服器維運，本文記錄一次真實的 Windows Server 2003 入侵事件分析與修復過程。案例屬於典型的 Web 層面入侵，未涉及 Rootkit 等核心層級木馬，供同好參考交流。

環境概況

• 作業系統：Windows Server 2003 + IIS 6.0，NTFS 分區，權限設定正常
• 遠端管理：pcAnywhere 10.0
• Web 應用：動力文章系統 3.51 修改版，掛接動網論壇 7.0 SP2 修改版

入侵發現與初步判斷

剛接手某校站點系統管理員職務，負責三台主機。巡檢時發現一台主機 skin 目錄下存在可疑檔案，確認主機已被入侵。深入排查發現：

• 前任管理員疏忽 Web 安全，動力文章系統存在嚴重上傳漏洞且未修補
• 動網論壇版本雖為 7.0 SP2，但不排除已被利用
• 系統層面未發現木馬，主機系統相對安全
• Web 目錄下發現大量 Webshell，IIS 6.0 未啟用日誌記錄

修復操作步驟

1. 備份現有 Web 系統

修復前完整備份網站程式碼與資料庫，確保資料可回溯。

2. 時間查找法清理惡意檔案

根據最早可疑檔案的建立時間，搜尋該時間點後所有新建或修改的檔案。發現大量偽裝為 gif、jpg、asp、cer 等格式的檔案，以記事本開啟皆為 ASP 木馬。全部備份後刪除。

3. 工具掃描與帳號審計

安裝防毒軟體全盤掃描，僅查殺出少量 ASP 木馬，無其他異常。檢查系統用戶群組、C 槽根目錄均無異狀。推測入侵者取得 Web 權限後未成功提權，但不排除存在更隱蔽的後門，需持續監控。

4. 發現正常程式被植入竊密代碼

動力文章系統管理頁面被插入代碼，將管理員密碼以明文儲存，手法類似動網論壇已知漏洞利用代碼。其他被修改的 ASP 檔案中發現「動鲨網頁木馬」、「icefox 一句話木馬」、「海洋木馬」等知名 Webshell，均經過加密混淆。

5. 徹底重建與加固

• 刪除現有 Web 系統，還原數月前乾淨備份
• 匯入最新資料庫，刪除動力文章系統上傳功能相關 ASP 檔案
• 註入防 SQL Injection 代碼，修改所有 Web 與系統管理員密碼
• 升級 pcAnywhere 至 11.0，修改密碼並限制允許連線 IP
• 啟用 IIS 6.0 詳細日誌記錄（W3C 擴展格式）
• 因掛接站點長期無人維護且無法聯繫管理員，變更路徑並移除連結，暫時隔離

入侵手法分析與防禦建議

入侵者利用 Web 上傳漏洞植入 Webshell，嘗試上傳 cmd.exe、2003.bat、xp3389.exe 等工具開啟 3389 終端機連接埠，但受限於 NTFS 權限設定妥當，無法進一步提權。值得注意的是：

• pcAnywhere 10.0 的密碼檔 (*.cif) 預設存放於 Documents and Settings\All Users\Application Data\Symantec，Everyone 可讀，網上有解密工具可讀取密碼
• pcAnywhere 11.0 已修正此問題，強烈建議升級
• 安裝 pcAnywhere 會導致系統無法開啟 3389 服務（核心檔案被替換），此特性客觀上阻擋了入侵者開啟 RDP

總結

此次事件核心教訓在於：Web 應用漏洞修補不及時、IIS 日誌未啟用、遠端管理工具版本過舊且密碼保護不足。修復關鍵在於「備份→清理→還原乾淨版本→加固」的標準化流程，而非單純清除木馬。持續的日誌審計與最小權限原則是長期防護的基石。