亡羊補牢不如防患未然。本文提供從主機基礎、Web 伺服器 (IIS) 到 SQL Server 的分層防禦體系，徹底封堵木馬後門滲透路徑。

一、主機基礎防護基本功

1. 關閉非必要連接埠 / 僅開放指定埠口：縮小攻擊面。
2. 部署專殺木馬工具定期掃描：木馬克星、木馬清除大師、木馬獵手、木馬分析專家等免費小工具，適合常態「體檢」。
3. 掌握進程分析與終止：常用 Process Explorer、IceSword、系統檢視大師、WinProc 等工具，隨時檢查不明進程並終止。

二、Web 伺服器 (IIS) 深度加固

1. 服務與帳號精簡

• 關閉不必要的服務（FTP、SMTP、NNTP 等若未使用）。
• 建立強密碼帳號策略、啟用安全稽核日誌。

2. IIS 核心配置

• 修改預設 Inetpub 目錄：刪除 C:\Inetpub，在 D 槽重建，IIS 管理員中將主目錄指向新路徑。
• 刪除預設虛擬目錄：scripts、iisadmin、print 等。
• 移除不必要的副檔名對應：僅保留 .asp、.asa 等必要映射。路徑：IIS 管理員 → 右鍵網站 →「內容」→「主目錄」→「設定」→「對應」分頁刪除多餘項目。
• 啟用 W3C 擴充日誌：記錄客戶 IP、用戶名、連接埠、方法、URI、HTTP 狀態、User-Agent 等，每日審查日誌。

3. 目錄權限最小化

• 一般目錄：唯讀，禁止「寫入」與「目錄瀏覽」。
• ASP 執行目錄：授予「腳本」權限，禁止「執行」權限。
• 善用 NTFS 精細權限控制使用者/群組存取。

4. Access 資料庫防下載

• 改用複雜非常規檔名，置於深層目錄。
• 設定資料庫開啟密碼。
• IIS 對應設定中新增 .mdb 副檔名對應至 asp.dll，並設「限制為：禁止」，阻擋直接下載。

三、SQL Server 核心加固

1. SA 帳號強制設定複雜密碼（預設空密碼極危險）。
2. 最小權限原則：應用程式帳號僅授予「檢視視圖」與「執行預存程序」權限，禁止直接 SELECT/INSERT/UPDATE/DELETE。
3. 選用安全開發框架，防範 SQL Injection、暴庫等常見漏洞。
4. 建立定期備份與災難恢復演練機制。

---

分層防護、最小權限、日誌審計、定期備份——四大支柱構建無後門伺服器環境。