Windows 2000 打造 ASP + CGI + PHP + MySQL 安全主機完整部署指南

核心安全原則

最小服務 + 最小權限 = 最大安全

1. 作業系統與 IIS 精簡安裝

• 僅安裝必要元件：取消 Indexing Service、FrontPage 2000 Server Extensions、Internet Service Manager (HTML)
• 刪除預設網站所有虛擬目錄，停止 IIS（net stop iisadmin），移除 C:\Inetpub
• 在非系統盤建立網站根目錄，於 IIS 指向新路徑，嚴格控管寫入/執行權限

2. 應用程式對應表精簡

• 僅保留 .asp、.asa、.cgi、.php、.php3 對應
• 刪除 .htw、.htr、 .idq、.ida 等高風險對應
• 錯誤訊息設為「傳送文字」，隱藏伺服器細節

3. 404 頁面偽裝技巧（對抗 CGI 掃描器）

將 HTTP 404 透過 URL 重導向至自訂 404.htm，使掃描器皆收到 HTTP 200，無法依狀態碼判斷漏洞存在與否。

4. 帳號安全強化

• 本地安全原則 → 匿名連線限制 設為 1（不允許列舉 SAM 帳號/共享）
• 重新命名 Administrator 帳號
• 登入介面不顯示上次用戶名：HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\DontDisplayLastUserName = 1

5. TCP/IP 連接埠篩選

僅開放必要埠：

6. CGI 支援 (ActivePerl)

1. 安裝至 C:\USR（保持 #!/usr/bin/perl 路徑相容）
2. 註冊表 HKLM\System\CurrentControlSet\Services\W3SVC\Parameters\ScriptMap 新增：
   • .cgi → C:\USR\BIN\perl.exe %s %s
   • .pl → C:\USR\BIN\perl.exe %s %s
3. 同步新增 .php/.php3 對應指向 C:\PHP\PHP.exe %s %s

7. MySQL 安裝與服務化

1. 完整安裝至 C:\MYSQL
2. C:\MYSQL\BIN\MYSQLD-NT.EXE --install 註冊服務
3. 服務管理啟動 MySQL
4. 執行 WINMYSQLADMIN.EXE 設定 root 密碼，系統匣顯示狀態燈

8. PHP 安裝 (ISAPI 模式)

1. 解壓至 C:\PHP
2. php.ini-dist 複製至 C:\WINNT\php.ini
3. 建立 C:\TMP，設定 session.save_path = C:/TMP
4. PHP4TS.DLL 複製至 C:\WINNT\SYSTEM32
5. IIS → ISAPI 篩選器新增：PHP → C:\PHP\SAPI\PHP4ISAPI.DLL
6. 預設文件加入 index.php

驗證清單

• ASP、PHP、CGI、MySQL 互通測試
• Nmap 掃描確認僅開放預期埠
• 匿名連線嘗試確認無法列舉帳號