AI 助理
备案控制台
开发者社区 安全 文章 正文

配置策略,禁止139/445端口连接

2006-11-05 1008
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 配置策略,禁止139/445端口连接    来源：赛迪网      2004-04-30    也许大家都知道网上有些扫描器如letmein.exe，whoisadmin.exe等，是通过TCP的139和445端口来获取一些计算机相关信息，如计算机的名称，管理员帐号。
配置策略,禁止139/445端口连接
 
  来源：赛迪网      2004-04-30  
 
也许大家都知道网上有些扫描器如letmein.exe，whoisadmin.exe等，是通过TCP的139和445端口来获取一些计算机相关信息，如计算机的名称，管理员帐号。这样便可以通过相应的攻击工具进行入侵了。当知道了管理员的帐号后，可以猜测或暴力破解其密码来获得计算机的控制权。怎么办呢？利用win2000自身的策略设置，就能解决。我们采取对本地安全设置里的"IP安全设置，在本地机器" 来进行设置，禁止TCP的139/445连接。

在进行策略设置前，首先来了解一下相应的原理吧！

一、基本原理
SMB(Server Message Block) Windows协议族，用于文件和打印共享服务。NBT(NetBIOS over TCP/IP) 使用137(UDP), 138(UDP) and 139 (TCP）来实现基于TCP/IP的NETBIOS网际互联。

在Windows NT中SMB基于NBT实现。 而在Windows2000中，SMB除了基于NBT的实现，还有直接通过445端口实现。 当Win2000（允许NBT)作为client来连接SMB服务器时，它会同时尝试连接139和445端口，如果445端口有响应，那么就发送RST包给139端口断开连接，以455端口通讯来继续.当445端口无响应时，才使用139端口。当Win2000（禁止NBT)作为client来连接SMB服务器时，那么它只会尝试连接445端口，如果无响应，那么连接失败。（注意可能对方是NT4.0服务器。） 如果win2000服务器允许NBT, 那么UDP端口137, 138, TCP 端口 139, 445将开放。 如果 NBT 被禁止, 那么只有445端口开放。

二、实战操作
简单的原理就这些了，那如何实现呢？方法如下

1. 通过对开始->设置->控制面版->管理工具 -> 本地安全策略 ->（鼠标右击）IP安全策略，在本地机器。点击"管理IP筛选器表和筛选器操作"，如图1所示。
img_ff11c71c46cd65c7dc104712c160a344.jpg
图 1

2.在"管理IP筛选器列表"选项卡上点击"添加"。
img_d3a6f307a631d8c744ee422082e8c5ed.jpg
图 2

3.弹出"IP筛选器列表"窗口。
img_5e64b980c9e33cd2ac5a308997bbe296.jpg
图 3

4.分别添入名称和描述，如禁用139连接。并点击"添加"，接着会出现一个IP"筛选器向导"，单击下一步。
img_b9f653da98ae5bad235503099b8fc68e.jpg
图 4

5.到"指定IP源地址"窗口，在"源地址"中选择"任何IP地址"，点击下一步。
img_1eb70d81652e5eb61cea8ab524c30efb.jpg
图 5

6.在"IP通信目标"的"目标地址"选择"我的IP地址"，点击下一步。
img_d494babea8b89d11a7aacb322224a4c2.jpg
图 6

7.在"IP协议类型"的"选择协议类型"选择"TCP"，点击下一步。
img_36728692bf5e497fd24cfff01e7180ee.jpg
图 7

8.在"筛选器向导"的"设置IP协议端口"里第一栏为"从任意端口"，第二栏为"到此端口"并添上"139"，点击下一步。
img_0a6572a554f897c45a7559d7fbf4b59b.jpg
图 8

9.接着点击"完成" ->然后再单击"关闭" 回到"管理IP筛选器表和筛选器操作"窗口。
img_833f9f85ce07b68021255b0b74469ead.jpg
图 9

10.选择"管理筛选器操作"选项卡点击"添加"。
img_c5a8812383e9b5f90add91137ac56be5.jpg
图 10

11.同样会出现一个"筛先器操作向导"的窗口，点击"下一步"，在"名称"里添上"禁用139连接"。
img_a77b0372912970def2e84cecd353e7ea.jpg
图 11

12.按"下一步"，并选择"阻止"，再按"下一步"。
img_f126d621cb208a024687c3ede72b6052.jpg
图 12

点击"完成"和"关闭"。

到这里"禁止139连接"的策略算是制定好了。不用多说了，禁用445端口的"筛选器列表"和"筛选器操作"的添加是和"禁止139连接"的方法一样的! 有一点，是需要注意的在添加139和445的筛选器操作时，不能为了省事用同一个"阻止"筛选器操作，这样制定出的规则将无法使用。
13.当禁止139/445的操作都完成后，回到"IP安全策略，在本地机器" ，通过右击创建"IP安全策略"
img_007aee3df622bb42db0cdea2497c5e0a.jpg
图 13

14.会出现一个"IP安全策略向导"的窗口，直接点击"下一步"，在"名称"添入"禁用139/445连接"，一直点击"下一步"到"完成"。
img_77f88d2c83f6e0fb9f71b5b614a7448d.jpg
图 14

15.在"禁用139/445连接 属性"里点击"添加"。
img_640a1861f8894b83bba424131eac0bfb.jpg
图 15

16.会出现一个"安全规则向导"窗口，一直点击"下一步"到"IP筛选器列表"选择"禁用139连接"，点击"下一步"。
img_3814bc62a357838a3dcf24dd56ee82c2.jpg
图 16

17.在"筛选器操作"选择"禁用139连接"，点击"下一步"，接着点去"完成"和"确定"。
img_67e56267d39a99ce1111a5db9215f845.jpg
图 17

18. 此时，可以通过"添加"将禁用445端口的筛选器列表和操作也加进去。
img_a47210995032b01e0b4b447992cf5213.jpg
图 18

19.接着是一直点击"下一步"，到"IP筛选器列表"，选择"禁用445连接"，点击"下一步"。
img_1180b8c72063fd0f4844a6cc785a93cc.jpg
图 19

20.此时，已经完成了所有的配置。点击"关闭"。回到"属性"窗口，设置好的窗口呈现如下 。
img_8440e6a2ec3726572d011d1f4c556601.jpg
图 20

21.最后，将我们刚才配置好的"禁用139/445连接"的安全策略指派即可。大功告成啦！
img_ee43cab223ee83d2bedb18120bb39fc8.jpg
图 21

当然，如果你已有了自己的策略或使用系统自代的策略也是可以通过添加规则的方法来实现禁用139/445的目的，但创建"IP筛选器列表"和"管理筛选器操作"是一定要作的。同理你也可以通过IP安全设置里，对ICMP进行策略的制定，限制ping工具的使用。现用在用letmein之类的扫描器再试试吧！


附：这是未作禁用139/445策略时，用letmein.exe和whoisadmin.exe的探测结果，如下图：
img_68953bf9138e3396f358f8b65baf8c16.jpg
图 22

img_f7ea2c61509ebe3481f788cce2a28b8d.jpg

图 23

作过禁用139/445策略后的探测结果就变成了这样，如下图：

img_ccf0305c18c5b0d8a5d690908727a841.jpg
图 24

注：以上的测试是在域控制器上作的，如果不是的话，在2000server上操作的过程中会有如下的提示：
img_dbb1399cc30b99f0f7b931e4b9399093.jpg
图 25

不需要去管它，点击"是"就可以了!
文章标签：
安全
网络协议
Windows
关键词：
配置端口
策略端口
端口配置
端口连接
wangccsy
目录
相关文章
工程师阿龙
|
2月前
|
运维 网络协议 网络安全
干货 | USG配置端口映射图解&映射不通的排查
干货 | USG配置端口映射图解&映射不通的排查
工程师阿龙
73 9
路边两盏灯
|
2月前
|
JSON 安全 网络协议
【Azure Policy】添加策略用于审计Azure 网络安全组(NSG)规则 -- 只能特定的IP地址允许3389/22端口访问
为了确保Azure虚拟机资源的安全管理，只有指定IP地址才能通过RDP/SSH远程访问。解决方案包括使用Azure Policy服务扫描所有网络安全组（NSG），检查入站规则中的3389和22端口，并验证源地址是否在允许的IP列表中。不符合条件的NSG规则将被标记为非合规。通过编写特定的Policy Rule并定义允许的IP地址参数，实现集中管控和合规性检查。
路边两盏灯
36 0
路边两盏灯
|
2月前
|
NoSQL Linux 网络安全
【Azure Redis】Redis-CLI连接Redis 6380端口始终遇见 I/O Error
【Azure Redis】Redis-CLI连接Redis 6380端口始终遇见 I/O Error
路边两盏灯
30 0
路边两盏灯
|
2月前
|
开发框架 .NET Linux
【Azure 应用服务】 部署到App Service for Linux 服务的Docker 镜像，如何配置监听端口呢？
【Azure 应用服务】 部署到App Service for Linux 服务的Docker 镜像，如何配置监听端口呢？
路边两盏灯
47 0
路边两盏灯
|
2月前
|
安全 网络安全
【Azure 环境】当本地网络通过ER专线与Azure云上多个虚拟网络打通，如何通过特定的网络策略来限制本地部分网段访问云上虚拟机22端口？
【Azure 环境】当本地网络通过ER专线与Azure云上多个虚拟网络打通，如何通过特定的网络策略来限制本地部分网段访问云上虚拟机22端口？
路边两盏灯
31 0
路边两盏灯
|
2月前
|
SQL 网络协议 NoSQL
【Azure 应用服务】App Service/Azure Function的出站连接过多而引起了SNAT端口耗尽，导致一些新的请求出现超时错误(Timeout)
【Azure 应用服务】App Service/Azure Function的出站连接过多而引起了SNAT端口耗尽，导致一些新的请求出现超时错误(Timeout)
路边两盏灯
32 0
路边两盏灯
|
2月前
|
缓存 NoSQL Linux
【Azure Redis 缓存】Linux VM使用6380端口(SSL方式)连接Azure Redis (redis-cli & stunnel)
【Azure Redis 缓存】Linux VM使用6380端口(SSL方式)连接Azure Redis (redis-cli & stunnel)
路边两盏灯
60 0
香吧香
|
3月前
|
网络协议 Linux Unix
面试官：服务器最大可以创建多少个tcp连接以及端口并解释下你对文件句柄的理解
面试官：服务器最大可以创建多少个tcp连接以及端口并解释下你对文件句柄的理解
香吧香
68 0
面试官：服务器最大可以创建多少个tcp连接以及端口并解释下你对文件句柄的理解
嘟嘟嘟嘟嘟嘟
|
3月前
|
监控 关系型数据库 分布式数据库
PolarDB产品使用问题之如何配置端口
PolarDB产品使用合集涵盖了从创建与管理、数据管理、性能优化与诊断、安全与合规到生态与集成、运维与支持等全方位的功能和服务，旨在帮助企业轻松构建高可用、高性能且易于管理的数据库环境，满足不同业务场景的需求。用户可以通过阿里云控制台、API、SDK等方式便捷地使用这些功能，实现数据库的高效运维与持续优化。
嘟嘟嘟嘟嘟嘟
35 2
工程师阿龙
|
2月前
|
网络协议 关系型数据库 数据库
边界策略常开通的十大端口，作为网工，有必要了解！
边界策略常开通的十大端口，作为网工，有必要了解！
工程师阿龙
33 0