Windows 2000 服務安全性強化：三大進階防護技巧

前言

單純將服務設為「停用」不夠安全，攻擊者取得帳號密碼後仍可遠端啟用。本文提供三種進階手法，徹底阻止惡意服務啟用。

方法一：刪除服務對應的註冊表鍵值（使服務失效）

1. 開啟 regedit，定位至 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services。
2. 每個子鍵對應一項服務，DisplayName 為顯示名稱。
3. 以 Messenger 服務為例：先匯出備份該鍵值，再右鍵刪除（或重新命名）Messenger 子鍵。
4. 重開機後，服務清單中雙擊 Messenger 會彈出錯誤訊息，無法開啟屬性視窗，攻擊者也無法透過服務管理介面啟用。
5. 需恢復時，匯入備份的 .reg 檔即可。

圖 1：服務失效後的錯誤提示

方法二：重新命名服務「顯示名稱」

1. 同樣在 Services\Messenger 下，刪除 Description 值，修改 DisplayName 為無關名稱（如 Gsn）。
2. 重開機生效。服務清單將顯示「Gsn」，攻擊者難以快速識別。
3. 但攻擊者若逐一查看屬性，仍可在「服務名稱」欄看到真實名稱。
4. 記錄修改對照表，以免自己日後找不到服務。

方法三：修改服務真實「服務名稱」（需 Resource Kit 工具）

1. 準備 Srvinstw.exe 與 Srvany.exe（Windows 2000 Resource Kit 內）。
2. 執行 Srvinstw.exe，選「Install a service」，Service Name 輸入新名稱（如 Gsnsrv），路徑指向 Srvany.exe。
3. 將原 Messenger 服務設為「停用」，並匯出其註冊表鍵值備份。
4. 再次執行 Srvinstw.exe，選「Remove a service」移除原 Messenger 服務。
5. 編輯備份的 .reg 檔，將 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Messenger] 改為 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Gsnsrv]，匯入註冊表。
6. 查看服務屬性，名稱已變更為 Gsnsrv。結合方法一、二進一步隱藏或刪除。

圖 2：修改後的服務名稱

重要提醒

• 操作前務必完整備份：註冊表、服務顯示名稱、服務名稱、執行檔路徑等。
• 僅對「確定不需要且高風險」的服務執行（如 Messenger、Remote Registry、Terminal Services 等）。
• 部分服務修改後可能導致系統錯誤，請謹慎評估。