别再让X-Scan扫出NT-Server弱口令了！手把手教你用组策略封堵135/139/445端口
Windows服务器安全加固实战：从端口封锁到账户防护
最近在一次内部安全审计中，我发现不少Windows服务器仍然开放着NetBIOS相关端口（135/139/445），更令人担忧的是，部分服务器竟然使用空密码的Administrator账户。这种配置简直就是给攻击者敞开大门。今天，我将分享一套完整的加固方案，不仅告诉你如何操作，更重要的是解释每个步骤背后的安全原理。
1. 为什么这些端口如此危险？
135、139和445端口是Windows系统中常见的网络服务端口，但它们也长期位列高危端口清单。让我们深入分析这些端口的安全风险：
135端口（RPC服务）：远程过程调用端口，用于分布式应用程序通信。攻击者常利用MS-RPC漏洞获取系统权限，著名的"WannaCry"勒索病毒就是通过此端口传播。
139端口（NetBIOS会话服务）：提供文件和打印机共享服务。通过此端口，攻击者可以：
- 枚举共享资源
- 尝试暴力破解
- 利用SMBv1漏洞（如永恒之蓝）
445端口（SMB over TCP）：直接承载SMB协议，风险与139端口类似但更直接。2017年全球爆发的WannaCry病毒主要就是通过445端口传播。
实际案例：去年某企业内网中，安全团队发现多台服务器被植入挖矿程序。溯源发现攻击者首先通过445端口暴力破解了Administrator账户，然后横向移动感染了整个网络。
提示：即使关闭了这些端口，也建议定期检查服务器是否意外重新开放了它们，这可以通过简单的端口扫描工具完成。
2. 使用组策略封锁高危端口
Windows自带的本地安全策略工具（gpedit.msc）提供了强大的IP安全策略功能，下面详细介绍如何利用它封锁端口。
2.1 创建IP安全策略
- 按
Win+R打开运行对话框，输入gpedit.msc启动本地组策略编辑器 - 导航至：
计算机配置 > Windows设置 > 安全设置 > IP安全策略，在本地计算机 - 右键空白处选择"创建IP安全策略"
关键设置项解析：
| 设置项 | 推荐值 | 安全含义 |
|---|---|---|
| 策略名称 | Block_Dangerous_Ports | 清晰表明策略用途 |
| 激活默认响应规则 | 取消勾选 | 避免不必要的安全响应 |
| 编辑属性 | 立即勾选 | 方便后续规则配置 |
2.2 配置端口封锁规则
我们将为每个高危端口创建独立的筛选器列表和筛选器操作。
以135端口为例：
# 快速验证端口是否已关闭的PowerShell命令 Test-NetConnection -ComputerName localhost -Port 135在策略属性中点击"添加"创建新规则
取消"使用添加向导"选项，手动配置更灵活
在IP筛选器列表选项卡中新建列表：
- 名称：Block_Port_135
- 添加筛选器：
- 源地址：任何IP地址
- 目标地址：我的IP地址
- 协议：TCP
- 从任意端口到此端口：135
在筛选器操作选项卡中新建操作：
- 名称：Deny_All
- 安全方法：阻止
将筛选器列表与操作关联后完成规则创建
批量操作技巧：
对于139和445端口，可以复制已创建的规则，只需修改目标端口号即可。这样可以确保配置一致性并节省时间。
注意：应用策略后可能需要重启服务器或等待组策略刷新（通常15-30分钟）才能生效。
3. 加固Administrator账户安全
空密码或弱密码的Administrator账户是攻击者的首要目标。让我们彻底解决这个问题。
3.1 修改默认Administrator密码
:: 以管理员身份运行CMD执行以下命令 net user administrator <新密码>密码设置最佳实践：
- 长度至少12个字符
- 包含大小写字母、数字和特殊符号
- 避免使用字典单词或常见组合
- 定期更换（建议每90天）
3.2 额外的账户安全措施
重命名Administrator账户：
- 本地安全策略 > 安全选项 > "账户：重命名系统管理员账户"
- 这可以避免针对默认管理员账户的暴力破解
启用账户锁定策略：
- 账户锁定阈值：5次无效登录 - 锁定时间：30分钟 - 重置账户锁定计数器：30分钟后创建备用管理账户：
- 新建一个非"Administrator"名称的管理员账户
- 禁用原始Administrator账户（在极端情况下保留启用选项）
账户安全对照表：
| 安全措施 | 实施前风险 | 实施后防护效果 |
|---|---|---|
| 修改默认密码 | 暴力破解风险极高 | 大幅提高破解难度 |
| 账户重命名 | 攻击者明确知道目标账户名 | 增加攻击者识别难度 |
| 账户锁定 | 可无限次尝试密码 | 阻止暴力破解尝试 |
| 禁用默认账户 | 针对默认账户的自动化攻击 | 完全消除此类攻击面 |
4. 验证安全加固效果
完成所有配置后，必须验证措施是否真正生效。
4.1 端口封锁验证
使用本地或远程扫描工具检查目标端口状态：
# Nmap快速扫描命令示例（从另一台机器执行） nmap -p135,139,445 <服务器IP>预期结果应该是所有目标端口显示为"filtered"或"closed"状态。
4.2 账户安全验证
尝试使用错误密码登录Administrator账户：
- 连续5次输入错误密码后账户应自动锁定
- 确认30分钟内无法再次尝试登录
- 检查事件查看器中的安全日志，确认记录了登录失败事件
4.3 长期监控建议
建立定期检查机制：
- 每周检查关键端口状态
- 每月审查管理员账户登录记录
- 每季度更新管理员账户密码
- 及时安装系统安全更新
5. 进阶安全建议
除了端口和账户加固外，还有更多提升Windows服务器安全性的方法：
网络层防护：
- 配置Windows防火墙，仅允许必要的入站连接
- 在网络边界设备上封锁高危端口
- 实施网络分段，隔离关键服务器
系统层加固：
- 启用Windows Defender或安装企业级防病毒软件
- 定期更新系统补丁，特别是安全更新
- 禁用不必要的服务和功能（如SMBv1）
日志与监控：
- 配置集中式日志收集
- 设置关键事件警报（如多次登录失败）
- 定期审查安全日志
备份策略：
- 实施3-2-1备份原则（3份副本，2种介质，1份离线）
- 定期测试备份恢复流程
- 对备份数据实施与生产环境相同的安全控制
在实际运维中，我发现很多管理员只关注技术层面的加固，却忽视了流程和管理。建议制定标准化的服务器安全配置基线，所有新部署的服务器都应遵循这个基线。同时，建立变更管理流程，任何对安全配置的修改都需要经过评审和记录。