攻擊切入點
目標網站使用「業一新聞系統 2.9 增強版」。攻擊者透過搜尋引擎獲取官方安裝說明，發現三個關鍵預設值：
- 後台登入頁：
m_login.asp
- 預設帳密：admin / admin
- 預設 Access 資料庫：
news.mdb (可直接下載)
利用過程
- 嘗試預設帳密登入失敗。
- 直接下載
news.mdb，離線破解或查看明文密碼 (若未加密)。
- 或利用資料庫備份路徑恢復至本地分析結構，尋找其他注入點。
核心問題
- 預設配置未變更：安裝後未修改預設帳密、資料庫名、後台路徑。
- 敏感檔案直接可下載：Access 資料庫置於 Web 目錄下，無任何存取控制。
- 錯誤訊息洩露系統資訊：標題列直接顯示系統版本，助長指纹識別。
防禦清單
- 安裝後必改：修改預設管理員帳號、強複雜密碼、自訂後台路徑、資料庫檔名與儲存路徑 (移出 Web 根目錄)。
- 資料庫保護：Access 改用 MSSQL/MySQL；若必須用 Access，設定資料庫密碼、放置於不可直接下載目錄、配置 IIS 拒絕 .mdb 靜態檔案請求。
- 隱藏版本資訊：移除頁面標題、註解、HTTP Header 中的版本標識。
- 部署 WAF/應用防火牆：攔截針對已知 CMS 預設路徑、資料庫檔名的掃描請求。
- 定期滲透測試：針對 CMS 核心功能 (登入、上傳、搜尋) 進行專項測試。
結語
「業一新聞系統」案例再次證明：已知軟體的預設配置是攻擊者的字典。資安防禦的基石在於「改預設、減權限、藏資訊、勤監控」。