案例現場：Windows 2000 + IIS + Serv-U 伺服器遭入侵
遠端登入發現密碼失效，顯示系統已被控制。進機房用 ERD Commander 重置密碼重啟後，開始系統性檢測。
一、帳號審計：清除惡意管理員
- 本地使用者與群組中發現新增 `hud$` 帳號屬於 Administrators 組 → 刪除。
- Guest 帳號雖顯示停用，但說明異常且屬 Administrators 組 → 刪除。
- 檢查其他用戶組別正常，移除所有帳號的遠端桌面登入權限。
二、檔案系統排查：移除駭客工具與掃描腳本
C:\ 根目錄發現可疑檔案：
- `sqlhello.exe`, `sqlhello2.exe`
- `result.txt`
- `1.bat`, `2.bat` — 編輯發現內容為掃描整個網段，確認主機被當跳板。
操作：將所有可疑檔案移動至隔離目錄保存證據，並從啟動項、計畫任務、服務中清除相關引用。
三、應用層審計：Serv-U FTP 伺服器檢查
- 審計用戶列表：無新增 System 權限 FTP 帳號。
- 執行權限、鎖定目錄設定正常。
- 檢查日誌：無日誌記錄 (駭客可能已清除或未啟用)。
- 確認版本：是否為已知漏洞版本 (需對照廠商公告)。
四、Web 層 (IIS) 檢測
- 檢查網站根目錄是否有異常 `.asp/.asa/.cer/.php/.jsp` 等腳本檔案。
- 查看 IIS 日誌 (預設 `C:\WINNT\system32\LogFiles\W3SVC1\`) 分析可疑 POST/GET 請求、SQL 注入特徵、異常 User-Agent。
- 檢查應用程式池身分、匿名使用者權限、父路徑啟用狀態。
五、系統層深度清理
- 進程/服務/驅動程式：用 Process Explorer、Autoruns、GMER 掃描 Rootkit、隱藏進程、異常驅動。
- 登錄檔持久化點：Run/RunOnce、Services、Winlogon、Image File Execution Options、AppInit_DLLs、Scheduled Tasks。
- 網路連線與共享： `net session`, `net share`, `netstat -ano` 確認無異常會話、隱藏共享、可疑連線。
- 補丁狀態：用 MBSA 或 WSUS 掃描缺失補丁，全量修補。
六、事後加固與監控
- 重置所有帳號密碼 (含資料庫、FTP、管理後台)。
- 部署 WAF、HIDS/EDR、檔案完整性監控 (FIM)。
- 啟用 IIS 詳細日誌、防火牆日誌、Sysmon 事件日誌，接入 SIEM 做即時關聯告警。
- 制定應急響應預案，定期演練。
結語
入侵檢測非單一動作，而是帳號→檔案→應用→系統→網路→日誌全維度排查。案例中駭客利用系統漏洞提權、植入掃描腳本作跳板、清除日誌掩飾蹤跡。唯有系統性清理並建立持續監控體系，才能防止再次淪陷。