前言

基於 Windows 2000 Server 實戰經驗，梳理 IIS Web/FTP 伺服器從安裝到加固的完整配置清單，涵蓋審計、埠口、預設共享、腳本映射、虛擬目錄、站點限制、效能、FTP 隔離、磁碟配額、FSO 組件防護等關鍵環節。

一、啟用安全審計（入侵檢測基石）

必開審核項（成功/失敗）：
審核原則變更、登入事件、物件存取、目錄服務存取、特權使用、程序追蹤、系統事件、帳戶登入、帳戶管理。
日誌上限設 50 MB、不覆蓋，確保留存證據。

二、關閉不必要埠口

掃描開放埠（\system32\drivers\etc\services 對照），依「最小化原則」僅保留業務必需埠。
TCP/IP 篩選：「網路連線」→ 內容 → TCP/IP → 進階 → 選項 → TCP/IP 篩選 → 添加允許的 TCP/UDP/協議編號。

三、徹底關閉預設共享

「電腦管理」→「共享資料夾」→「共享」右鍵停止共享。
因重啟自動恢復，編寫批處理 (stopshare.bat) 放入「啟動」資料夾或「計劃任務」（電腦啟動時執行）：
net share admin$ /delete && net share c$ /delete && net share d$ /delete ...

四、建立 Web 站點與腳本映射精簡

1. 新建站點或使用預設站點，綁定主機頭（頂級域名）。
2. 「主目錄」→「配置」→「應用程式對應」：刪除高風險映射：.htr、.hta、.idc、.printer、.htw/.ida/.idq（索引服務）。
   僅保留業務必需：.asp、.asa、.php、.cgi 等。
   PHP 範例：可執行檔 c:\php\php.exe，副檔名 .php；CGI 同理。

五、清理預設虛擬目錄與站點限制

• 刪除 IISAdmin 等預設虛擬目錄，防止資訊洩露。
• 新增虛擬目錄指向應用程式實體路徑（如 /jxqy）。
• 站點屬性 →「效能」：啟用頻寬限制（如 20 KB/s）、CPU 最大佔用（2%）、連線數限制（150）、連線逾時（150 秒）。
• 「文件」標籤設定預設文檔（如 index.asp、default.htm）。

六、目錄安全性：匿名存取與 IP 限制

• 匿名存取：編輯匿名帳戶（建議專用低權限帳戶），勾選「允許匿名存取」。
• IP 位址限制：「拒絕存取」添加惡意 IP/網段，「授與存取」僅允許信任 IP（視業務而定）。

七、FTP 站點安全配置

1. 新建 FTP 站點：非標準埠（避免 21）、指定根目錄。
2. 「FTP 站點」標籤：連線數限制（3-4）、啟用記錄。
3. 「安全性帳戶」：取消匿名連線，添加專用帳戶為操作員。
4. 「訊息」：設定歡迎/離開提示。
5. 「目錄安全性」：IP 限制同 Web 站點。

八、NTFS 磁碟配額限制用戶空間

前提：NTFS 5.0 分區。
「屬性」→「配額」→ 啟用配額管理 → 選「限制磁碟空間」→ 設定「配額限制」(如 200 MB) 與「警告層級」(如 198 MB)。
勾選「拒絕超出配額用戶寫入」、「超出配額記錄事件」、「超出警告記錄事件」。

九、FSO (FileSystemObject) 防護：防 ASP 惡意文件操作

虛擬主機商必做：
1. 命令列執行 regsvr32 /u scrrun.dll 反註冊 FSO。
2. 或修改註冊表 HKEY_CLASSES_ROOT\Scripting.FileSystemObject 鍵值改為亂碼（如 Scripting.FileSystemObject2），ASP 呼叫時需對應新名稱，非授權代碼無法使用。
注意： 自身管理腳本需同步修改調用名稱。

結語

IIS 安全非一次性動作，而是「審計→縮減面→最小權限→持續監控」的循環。落實上述清單，並配合微軟補丁日 (Patch Tuesday) 及時修補，可構建高韌性的 Web 服務平台。