Windows Server 2003 預設啟用行政共享（C$、D$、ADMIN$、IPC$ 等），方便管理員遠端管理，但也為攻擊者提供了側向移動、權限提升的便利通道。本文提供三種層次的解決方案：啟動腳本臨時刪除、登錄永久停用、IPC$ 匿名連線限制，助您根據安全需求選擇適當策略。

方案一：登入腳本每次啟動刪除（適用測試/臨時環境）

1. 建立批次檔 autodel.bat，內容如下：

@echo off
net share C$ /delete
net share D$ /delete
net share E$ /delete
net share IPC$ /delete
net share ADMIN$ /delete

2. 將 autodel.bat 捷徑放入「啟動」資料夾（所有使用者或特定使用者），每次登入自動執行刪除。

缺點：服務重啟、Server 服務重啟會自動重建；無法防禦開機至登入前的攻擊窗口期。

方案二：登錄永久停用行政共享（推薦生產環境）

1. 停用磁碟機共享 (C$、D$、E$...)

定位：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
新建/修改 DWORD 值：AutoShareServer = 0（伺服器版）
或 AutoShareWks = 0（工作站版，Win2003 為伺服器版，以 AutoShareServer 為準）。

2. 停用 ADMIN$ 共享

同一機碼下，確認 AutoShareServer = 0 即可同時停用 ADMIN$（系統根目錄共享）。

3. 限制 IPC$ 匿名連線（Null Session）

定位：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
新建/修改 DWORD 值：RestrictAnonymous = 1（限制匿名列舉 SAM/共享）
或 = 2（完全拒絕匿名存取，更嚴格，可能影響部分舊版應用）。

生效方式：修改登錄後需重新啟動「Server」服務或重開機。

方案三：群組原則部署（網域環境批量推送）

1. gpmc.msc 建立/編輯 GPO →「電腦設定」→「喜好設定」→「Windows 設定」→「登錄」。
2. 新增上述三個登錄項目，動作選「更新」。
3. 連結 GPO 至目標 OU，執行 gpupdate /force 驗證。

驗證方法

管理員權限命令列執行 net share，確認輸出中不再出現 C$、D$、ADMIN$、IPC$。或使用 net view \\localhost 檢視共用清單。

風險與替代方案

• 管理不便：刪除行政共享後，遠端軟體部署、修補程式推送、遠端登錄編輯、效能監視器等功能將受阻。
• 替代方案：
  ① 保留共享，改用 IPsec 隔離 僅允許管理工作站存取 TCP 445。
  ② 部署 Windows Admin Center / PowerShell Remoting (WinRM) 走 HTTPS 5986 埠，完全繞過 SMB。
  ③ 啟用 SMB 簽署、停用 SMBv1、強制 NTLMv2/Kerberos 提高協定安全性。

結語

「預設共享」是雙面刃。若環境允許，建議採用「保留共享 + IPsec 限制存取 + SMB 強化」的纵深防禦策略；若合規要求必須關閉，請採用方案二登錄永久停用並同步部署替代管理通道。安全與可管理性的平衡，才是成熟運維的核心。