前言

網路上 Win2003 安全配置文章眾多，但多不全面、細節缺失、隱患殘留。本文針對需支援 ASP/ASPX/CGI/PHP/FSO/JMail/MySQL/SMTP/POP3/FTP/3389 終端服務/遠程桌面 Web 管理的 Web/FTP 伺服器，給出極端（BT）級安全配置，助網管高枕無憂。

前置假設

• 系統已安裝、NTFS 分區、IIS/FTP/郵件服務已裝好。
• 常規項（安全安裝、帳號管理、關閉多餘服務、審核策略、修改 3389 埠、MSSQL 加固等）不贅述，參考 315安全網相關文檔。

核心配置：NTFS 磁碟權限精細化

C: 系統盤

• 僅授予 Administrators 與 SYSTEM 完全控制，其餘移除。
• SYSTEM 權限視第三方服務需求酌情保留（某些服務以 SYSTEM 身份啟動）。

Windows 目錄

• 必須給 Users 群組預設權限（讀取/執行/列出資料夾內容），否則 ASP/ASPX 應用程式無法運行。
• 無需單獨設定 Inetsrv/Temp 等子目錄，父目錄繼承即可。

Documents and Settings — 重點防禦區

• 子目錄權限不繼承父目錄設定。
• 若僅設 C: 給 Administrators，All Users\Application Data 仍會殘留 Everyone 完全控制，駭客可跳轉寫入腳本，結合 Serv-U 溢出/資料庫弱點/社工等提權（webshell → SYSTEM 經典鏈）。
• 建議：Web/FTP 伺服器將此目錄樹徹底「鎖死」，各盤同樣原則：僅 Administrators 完全控制。

高危系統工具執行權限收回

以下檔案 僅允許 Administrators 存取：

net.exe, cmd.exe, tftp.exe, netstat.exe, regedit.exe, at.exe, attrib.exe, cacls.exe

服務精簡：最小暴露面原則

「多餘服務不啟用」——減少一份隱患。逐項審核停用非業務必需服務。

網路協議與防火牆配置

• 「網路連線」中：僅保留「Internet 協議 (TCP/IP)」，其餘協議/服務全刪。
• 頻寬控制需求 → 額外安裝「QoS 封包排程器」。
• TCP/IP 進階 → NetBIOS：停用 TCP/IP 上的 NetBIOS。
• 啟用 Internet 連線防火牆 (ICF)：Win2003 原生，Win2000 無此功能。雖功能基礎，但可屏蔽埠口，基本達到 IPSec 埠口過濾效果。

埠口開放策略：棄用 TCP/IP 篩選，改用 ICF

按業務開放對應埠。不推薦網卡屬性中的「TCP/IP 篩選」：

• FTP 特殊性：Port/Passive 模式需動態高埠，TCP/IP 篩選僅開 21 埠會導致「連得上、列不出目錄、傳不了資料」。
• ICF 能動態允許 FTP 資料連線，完美解決此問題。

下篇預告

將涵蓋：IIS/ASP/PHP/CGI/MySQL/JMail 具體安全配置、審核策略細節、終端服務加固、註冊表硬化、入侵檢測部署等進階主題。