前提：補丁永遠趕不上漏洞，防禦必須前置

無法保證首小時打上所有補丁，必須在入侵前通過系統加固將攻擊者擋在「安全門」外。

防溢出攻擊七大加固措施

1. 補丁自動化：開啟自動更新或部署 WSUS 內網分發，指定維護窗口自動安裝。
2. 最小服務原則：停用所有非業務必需服務（如 MSDTC 未用即停，免受 MSDTC 溢出波及）。
3. TCP/IP 端口篩選：僅開放業務埠（21/80/25/110/3389 等），高安全級別關閉 UDP，協議篩選僅允許 TCP(6)/UDP(17)/RDP(27)。建議改用 IPSec 封鎖 UDP/高危埠。
4. IPSec 策略雙重保險：相互認證、加密通訊、封鎖 135/139/445/145 等高危埠對外訪問、僅與信任 IP/網段通訊。防反彈木馬核心：IPSec 禁 UDP/非常用 TCP 對外。
5. 關鍵系統文件 ACL 鎖定：
   • 刪除/重命名/移動：net.exe/net1.exe/ipconfig.exe/user.exe/query.exe/regedit.exe/regsvr32.exe 等駭客常用工具（先停 FRS 服務、清 dllcache 副本）。
   • ACL 精細控制：cmd.exe/cmd32.exe/net.exe/.../regsvr32.exe 僅允許 Administrator 訪問，**拒絕 SYSTEM 訪問**（溢出後通常獲 SYSTEM 權限，拒絕 SYSTEM 即斷其手腳）。可用 cacls.exe 批處理批量配置。
   • 磁碟/關鍵目錄（C/D/E/F、Winnt、System32、Documents and Settings）全盤 ACL 強化。
6. 註冊表禁用命令解釋器：HKCU\Software\Policies\Microsoft\Windows\System\DisableCMD=1（禁用 CMD 與 .bat），或 =2（僅禁 CMD）。提供 .reg 文件一鍵導入。
7. 高權限服務降權運行：Serv-U、IMail、IIS、PHP、MSSQL、MySQL 等默認 SYSTEM 運行的服務，改以 Administrators 組專用帳號甚至 Users 權限運行（需深入理解服務依賴與 API 調用）。

溢出後阻斷提權與持久化

1. 上述措施生效後：溢出成功亦無法調用 CMD Shell、無法反彈連接（SYSTEM 被拒訪問 CMD、IPSec 封對外連接）。
2. 殘留風險應對：限制 echo 寫批處理、禁用 VBS/VBA/XMLHTTP 等腳本組件對 SYSTEM 運行權限、移除非系統盤 SYSTEM 寫入修改權限。徹底斷絕「得 Shell → 傳文件 → 提權 → 持久化」攻擊鏈。

後記：安全是系統工程

任何微小疏忽均可導致防線崩塌。策略必須走「防患未然」之路，每個細節都經得起推敲。