隱患一：SAM 資料庫脆弱性

核心問題

• SAM 儲存所有本地/網域帳號與加密密碼，位於 %systemroot%\system32\config\SAM
• 運行時受 OS 保護，但離線狀態下（雙系統、啟動光碟、Linux Live CD）可直接刪除/替換 SAM
• 刪除 SAM 後重開機，Administrator 空密碼即可登入
• syskey.exe (SP3+) 可設定開機金鑰、將密碼加密擴展至 128-bit，但離線刪除 SAM 仍可繞過
• Repair 目錄備份 SAM 可被 Replicator 群組成員遠端下載破解

根除對策

1. 單一作業系統 + 全分區 NTFS
2. BIOS 設定開機密碼 + 禁用光碟/USB 開機
3. 啟用 Syskey（開機金鑰模式：密碼/磁碟機/儲存於本機）
4. 移除 Repair 目錄備份或設定嚴格 ACL
5. 限制 Replicator 群組權限

隱患二：登入失敗處理機制缺陷

預設行為

• 無限次重試，無帳號鎖定（預設）
• 100M 網路下，6 碼密碼 ~20 分鐘即可暴力破解

帳號鎖定原則缺陷

• Administrator 永不鎖定 → 成為暴力破解首選目標
• 鎖定後正確密碼也無法登入 → 易造成拒絕服務

改進方向

• Unix/Linux 模式：斷開連線、延遲重試、不鎖定帳號
• 建議：防火牆層面封鎖多次失敗來源 IP、啟用帳號鎖定但排除 Administrator 並設定解鎖機制

隱患三：網路裝置硬體中斷 DoS

原理

• 硬體中斷優先級 (IRQ) > 核心執行緒 > 使用者執行緒
• 網路卡屬於裝置級中斷 (IRQ 5-15)
• 攻擊者在鏈路層構造高頻資料幀 → CPU 耗盡於中斷處理 → 系統癱瘓

特徵

• 僅限相鄰節點（不可跨路由器）
• 無法用 IP 層過濾（封包非協議棧產生）
• 日誌無記錄（不可追蹤）

緩解措施

• 智慧型網路卡（TCP/IP Offload、中斷合併）
• 獨立處理封包的硬體防火牆/IDS 前置
• 升級網路卡驅動、調整中斷親和性

結語

NT/2000 設計於網路威脅較低時代，上述隱患反映架構局限。纵深防禦：實體安全 → 主機硬化 → 網路邊界 → 應用層防護，缺一不可。