Windows 2000 虛擬主機 NTFS 權限鎖死實戰：從磁碟分區到 System32 核心執行檔逐層防護

虛擬主機安全性核心在於 NTFS 權限的最小權限原則落實。本文記錄從磁碟分區、TCP/IP 篩選、軟體安裝路徑、關鍵目錄 ACL 到 System32 核心執行檔封鎖的完整實戰配置。

環境基準

• Win2k Advanced Server，C/D/E 三分區全 NTFS。
• 軟體：Serv-U 5.0.11、MySQL、MSSQL、pcAnywhere、Norton AV、PHP 5、ActivePerl 5.8。
• 所有軟體安裝至 D 槽，E 槽備份資料。

關鍵防護層級

1. TCP/IP 篩選 (嚴格白名單)
   僅允許 TCP 連接埠：21, 80, 5631, 8735, 10001-10005 (Serv-U PASV)
   IP 協定：僅 6 (TCP)
   UDP：未測試全關閉
   理由：除非明確允許否則拒絕，比 IPSec 原則更嚴格。
2. 本地連線純淨化
   解除安裝除 TCP/IP 外所有協定。Administrator 改名、隱藏上次登入帳號、設定帳號鎖定原則。
3. 磁碟根目錄 ACL 重設
   C/D/E 根目錄移除 Everyone，僅保留 改名後的 Administrator + SYSTEM → 完全控制，啟用「重設所有子物件權限並允許傳播可繼承權限」。
4. 必要目錄最小權限開放
   — C:\Program Files\Common Files：Everyone → 讀取/列出/執行 (ASP 連接資料庫需求)
   — C:\WINNT\php.ini：Everyone → 讀取
   — C:\WINNT\Temp (PHP session)：Everyone → 讀取/寫入
   — D:\PHP (ISAPI) / D:\Perl (ISAPI)：Everyone → 讀取/列出/執行
   — C:\WINNT\System32：Everyone → 讀取/列出/執行 (大量 DLL 相依)
5. System32 核心危險執行檔精準封鎖
   cacls.exe：移除繼承，拒絕所有人存取 (權限修改工具，平時不用)
   net.exe, cmd.exe, ftp.exe, tftp.exe, telnet.exe：僅允許改名後 Administrator 存取
   原則：攻擊者常利用這些工具下載木馬、建立反向連線、擴大權限。
6. Serv-U 強化
   修改預設管理帳號/密碼 (用 EditPlus 修改 ServUDaemon.exe/ServUAdmin.exe 字串)，防止預設帳號被惡用上傳木馬。
7. 補充：禁止非管理員存取 WINNT 目錄
   將必要被呼叫檔案移出 WINNT 重新授權讀取路徑。

驗證與維護

部署後以低權限帳號測試網站功能、FTP 上傳/下載、資料庫連線、PHP/Perl 執行、郵件收發均正常。定期稽核 ACL 異動與事件日誌。

這套配置在實際虛擬主機環境運行多年，有效阻擋大多數 Web 入侵後的權限擴大與木馬植入。