前言

木馬透過偽裝誘騙執行，開啟後門讓駭客竊取檔案、遠端控制。本文整理 Windows Server 2003 實戰防木馬權限設定經驗，涵蓋系統安裝、使用者、密碼、網路三大面向。

一、系統安裝與基礎加固

1. 安裝 Windows 2003，預設不裝 IIS 6.0。
2. 手動安裝 IIS 6.0 僅啟用必要元件：ASP.NET (可選)、啟用網路 COM+ 存取、IIS 管理員、公用檔案、WWW 服務 (ASP、WebDAV 可選、伺服端包含檔案可選)。
3. 執行 Windows Update 安裝所有修補程式。
4. 使用 Ghost 備份乾淨系統。
5. 安裝常用軟體 (防毒、解壓縮)，掃描漏洞後再次 Ghost 備份。
6. 關閉不需連接埠、協議與服務；啟用 ICF 防火牆；停用 NetBIOS over TCP/IP；匯入 IPSec 原則。

修改 3389 遠端桌面連接埠

修改登錄兩處 PortNumber (十進位)，並在 ICF 開放新連接埠：

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

二、使用者安全設定

• 停用 Guest 帳號，並設定複雜密碼。
• 移除重複、測試、共用等非必要帳號；定期稽核刪除閒置帳號。
• 重新命名 Administrator (如 Guesycludx) 偽裝成一般帳號。
• 建立陷阱帳號：命名為 Administrator、最低權限、超長複雜密碼，延緩駭客並偵測入侵企圖。
• 共享資料夾權限從 Everyone 改為授權使用者 (含列印共享)。
• 啟用帳號鎖定原則：鎖定閾值 3 次、鎖定時間 20 分鐘、重設計數器 20 分鐘 (可選)。
• 登錄對話框不顯示上次登入帳號：登錄 HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\DontDisplayLastUserName=1。

三、密碼安全設定

• 強制複雜密碼 (大小寫、數字、特殊字元)，定期更換。
• 啟用螢幕保護程式密碼。
• 密碼原則：最小長度 6、記住歷史 5 次、最長使用期限 42 天。
• 條件允許時改用智慧卡取代密碼。

結語

纏繞防禦：系統精簡、最小權限、帳號偽裝、陷阱帳號、強制密碼原則、防火牆與 IPSec 多層防護，才能有效降低木馬風險。