前言

Windows Server 2003 功能強大，但預設配置為相容性犧牲了安全性。若不主動封堵隱患，伺服器極易成為攻擊目標。本文針對四大高風險面向：除錯資訊外洩、資源共享濫用、遠端存取濫用、匿名列舉，提供具體登錄與原則配置步驟，構建纵深防禦體系。

隱患一：Dr. Watson 自動儲存除錯資訊 (資訊外洩)

風險： 程式當機時，Dr. Watson 會在 %ALLUSERSPROFILE%\Documents\DrWatson\ 產生 User.dmp (記憶體傾印) 與 Drwtsn32.log，可能包含加密金鑰、密碼明文、資料庫連線字串等機密。駭客取得這些檔案即可離線分析。

封堵步驟：

1. 執行 regedit，定位 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug。
2. 雙擊 Auto，將值從 1 改為 0 (停用自動啟動 Dr. Watson)。
3. 開啟檔案總管，刪除現有檔案：
   %ALLUSERSPROFILE%\Documents\DrWatson\User.dmp
%ALLUSERSPROFILE%\Documents\DrWatson\Drwtsn32.log
4. 重新開機生效。

替代方案： 若需保留除錯能力，可改設 Debugger 值指向自訂除錯工具 (如 WinDbg)，並限制輸出目錄權限僅限 Administrators。

隱患二：檔案與列印共享功能常駐開啟 (側向移動入口)

風險： SMB 服務 (TCP 139/445) 歷來是蠕蟲傳播 (Blaster, Sasser, WannaCry 前身) 主要攻擊面。若非檔案伺服器角色，應關閉。

封堵步驟：

1. 「控制台」→「網路連線」。
2. 右鍵「區域連線」→「內容」。
3. 取消勾選 「Microsoft 網路的檔案和印表機共享」。
4. 點擊「確定」。本機即不再接受 SMB 連入。

補充： 若必須提供共享，請配合 IPsec 封鎖非信任 IP、啟用 SMB 簽署 (群組原則：Microsoft network server: Digitally sign communications (always) = Enabled)、限制共用資料夾權限 (最小權限原則)。

隱患三：遠端存取服務預設啟用 (未授權管理入口)

風險： Terminal Services (TCP 3389)、Remote Registry、Remote Administration 等服務若開放對外，弱密碼即可被暴力破解取得系統控制權。

封堵步驟：

1. Terminal Services：
   「我的電腦」右鍵「內容」→「遠端」→ 取消勾選「允許使用者遠端連線到這台電腦」。
   服務中停用 Terminal Services 並設為「已停用」。
2. Remote Registry：
   服務中停用 Remote Registry 並設為「已停用」 (防止遠端修改登錄)。
3. Remote Administration (HTML)：
   IIS 中停用/移除「遠端管理 (HTML)」虛擬目錄。
4. 防火牆封鎖：
   Windows 防火牆/前端硬體防火牆 僅允許管理 IP 存取 TCP 3389、135、445 等管理埠。

隱患四：匿名列舉 (Null Session) 洩露系統資訊

風險： 匿名使用者可透過 IPC$ 列舉使用者帳號、共用資料夾、原則、登錄鍵值等，為後續暴力破解、提權提供情報。

封堵步驟 (已含文章 130423 步驟 3)：

1. 登錄 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA：
   RestrictAnonymous = 1 (限制匿名存取 SAM/共用列舉)
   RestrictAnonymousSAM = 1 (專門限制 SAM 列舉)
2. 群組原則：
   gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 區域原則 → 安全性選項
   → 網路存取：允許匿名 SID/名稱轉換 = 已停用
   → 網路存取：可匿名存取的共用 = 清空
   → 網路存取：可匿名存取的命名管道 = 清空
3. 防火牆封鎖 TCP 135, 139, 445 對外 (僅信任管理網段開放)。

綜合防禦清單

防禦層面	關鍵動作	驗證方式
除錯資訊	關閉 Dr. Watson Auto，清理舊 .dmp/.log	觸發應用程式當機，確認無新檔案產生
SMB 共享	非檔案伺服器關閉「檔案和印表機共享」	本機 net share 僅剩 IPC$ (或無)
遠端管理	關閉 Terminal Services、Remote Registry，防火牆限制管理埠	外部掃描 3389/135/445 顯示 filtered/closed
匿名列舉	RestrictAnonymous=1，GPO 清空匿名可存取清單	工具 enum4linux / nbtscan 無法列舉用戶/共用

結語

安全非一次設定，而是持續過程。完成上述四大隱患封堵後，請持續：每月套用修補程式、每週審核安全性事件日誌、每季進行滲透測試、隨時關注微軟安全公告。唯有纵深防禦，才能在惡意威脅持續演進的今天，守住 Windows Server 2003 的最後一道防線。