從 Linux 轉回 Windows Server 2003 + IIS 架站，安全加固是重中之重。本文記錄實戰過程：從系統安裝、環境部署、安全工具安裝到 Discuz! 目錄權限精細鎖定，適合技術入門的個人站長參考。
階段一：系統基礎環境建置
- 安裝純淨 Windows Server 2003 (無整合包)，執行 Windows Update 打滿修補程式
- 參考網路「Win2003 伺服器安全設定」教學手動加固
- 使用 西部數碼網站管理助手 (官方下載)：「環境偵測」功能勾選
- 自動安裝 IIS 與 MSFTP
- 安裝 MySQL
- 安裝 PHP 5.2
- 安裝 CGI
- 對主機進行安全加固設定
一鍵完成 Web 環境部署與基礎安全設定
階段二：雙重防護軟體安裝
- 安全狗 (伺服器版)：Web 應用防火牆、防掛馬、防注入、帳號保護
- 360 主機衛士：系統漏洞掃描、弱口令檢測、啟動項管理、流量監控
- 兩者互補，覆蓋應用層與系統層防護
階段三：Discuz! 目錄權限精細鎖定（核心防禦）
原則：可寫入的目錄不可執行，可執行的目錄不可寫入
1. Discuz! 安裝根目錄：唯讀 + 可執行
- 移除「寫入」權限，保留「讀取」與「執行」
- 防止駭客上傳惡意腳本至根目錄並執行
2. data/ 目錄：可讀 + 可寫，不可執行
- 需寫入：快取檔、上傳附件、模板編譯、日誌等
- 在 IIS 中移除「執行」權限（或設定處理對應關聯為無）
- 即使駭客上傳 .php/.asp 惡意檔，也無法執行
3. 其他需寫入目錄同樣原則
attachment/、avatar/、template/ (部分) 等- 全部設定：NTFS 權限給 IIS_WPG/IUSR 讀寫，IIS 執行權限設「無」
階段四：持續維運建議
- 定期執行 Windows Update、MySQL/PHP 安全更新
- 每日備份資料庫與
data/ 目錄至異地 (百度雲盤等)
- 啟用 IIS 記錄與安全狗日誌，定期審計異常請求
- 資料庫帳號最小權限：Discuz! 連線帳號僅需該資料庫的 SELECT/INSERT/UPDATE/DELETE
- 修改預設管理員帳號、資料庫前綴、後台路徑
實戰成果
經上述加固，「泡酒論壇」穩定運行，未再出現掛黑鏈、被植入惡意碼、首頁被改等事件。Windows 平台配合成熟工具鏈，同樣能達到企業級安全基線。
給新手站長的建議
- 不要追求「一鍵完美」，安全是持續的過程
- 善用成熟工具 (西部數碼助手、安全狗、360衛士) 降低技術門檻
- 核心原則牢記：寫入與執行互斥
- 備份是最後防線，一定要自動化、異地化、定期驗證可還原
本文同步發布於草黑碼：caoheima.com，轉載請保留連結。
