事件起因
瀏覽某出版社官網時，防毒軟體攔截網頁木馬 (利用 IE 漏洞)。網站架構為 ASP + MSSQL，支援線上購書，無論壇等互動功能。
偵察與掃描
- 端口掃描：開放 80, 25, 110, 1433, 3389。
- IIS 5.0 (推測 Win2K)。
- 嘗試 3389 遠端桌面僅為確認系統版本，無權限無法登入。
漏洞嘗試
- 主站動態頁面少，多為二級域名連結，攻擊面較窄。
- ASP 頁面有防注入模組，ASPX/JSP/PHP 均無明顯錯誤回顯。
- 供求發布頁 (
fabuinfo.asp) 有圖片上傳但功能故障。
- 生活頻道搜尋框 (
pro_list.asp) 存在 SQL 注入 (DB_Owner 權限)，可列目錄但僅見資料庫備份，無網站路徑。
內網轉向策略
掃描內網段發現：多台主機開放 FTP (Serv-U) 與 pcAnywhere (5631)。計劃先奪取內網任一主機 WebShell 或 pcAnywhere 設定檔，再透過社交工程學或嗅探獲取目標憑證。
安全啟示
- 被掛馬即表示已被入侵：需立即進行應急響應，清理後門、重置憑證、審計日誌。
- 多域名、多技術棧增加攻擊面：每個子系統均需獨立安全基線。
- 資料庫與 Web 分離配置不當：資料庫主機開放內網 FTP/pcAnywhere，成為跳板。
- 管理介面暴露：3389、pcAnywhere 應限制來源 IP、強制 MFA、異地登入告警。
防禦建議
- 實施零信任網路架構：微隔離、身分為中心的存取控制。
- Web 應用防火牆 (WAF) 針對 SQLi、XSS、檔案上傳等規則常態化更新。
- 資料庫審計與備份加密離線儲存。
- 建立資產管理台帳，定期掃描未授權服務 (FTP、遠端管理工具)。