近日机子似乎有中招迹象，有远程主机连接445端口，特查资料，摘录于下。
139/445端口与入侵2K主机
SMB(Server Message Block)，Windows协议族，用于文件和打印共享服务。在Win9X/NT中SMB基于NBT实现，NBT(NetBIOS over TCP/IP)使用137, 138 (UDP) and 139 (TCP）来实现基于TCP/IP的NETBIOS网际互联；而在Win2K以后，SMB除了基于NBT的实现，还可以直接运行在TCP/IP上，而没有额外的NBT层，使用TCP445端口
。
当Win9X/NT（允许NBT)作为client来连接SMB服务器时，由于设计时并没有考虑到445端口因此只会连接服务器的139端口；而当Win2K/XP（允许NBT)作为client来连接SMB服务器时，它会同时尝试连接139和445端口，如果445端口有响应，那么就发送RST包给139端口断开连接，以455端口通讯来继续.当445端口无响应时，才使用139端口。
假如我们的扫描结果显示对方打开了TCP139或445，这无疑方便了我们今后对它的文件传输和管理，使用NET命令对服务器进行远程管理操作，还有像NTCMD、Enum、Letmein、SMBCrack之类的工具都要基于这些端口来完成任务。但是要想成功利用这些端口，本地作为client还要满足一定的要求。
如果对方只有139，要想利用它，本机必须“网络连接/属性/TCPIP协议/属性/高级/WINS”中设置启用NBT(NetBIOS over TCP/IP)，将你的本地防火墙设置为允许这3个端口的通信，否则将无法与对方建立连接。使用普通拨号上网的用户就需要在拨号连接的网络属性里面通过选中“Microsoft 网络客户端”和“Microsoft 网络的文件和打印机共享”这两个组件来启用NBT，否则如果本地为Win9X/WinNT则直接显示无法连接，如果本地为Win2K/XP则直接尝试连接对方的445而跳过连接NBT，结果连接失败。
如果对方只有445，本机要是Win2K以后的系统就可以直接连接，但如果本机是Win9X/WinNT，由于Win9X/WinNT所实现的SMB只能基于NBT，因而此时本机只会尝试139而不能和445建立连接，此时本机就无法使用基于SMB的工具。所以说入侵NT/2000最好还是使用Win2K。
要是2个端口都开了，那就最好了，只要满足其中任一个连接要求就可以。
禁止139/445端口
1.通过对开始->设置->控制面版->管理工具 -> 本地安全策略 ->（鼠标右击）ip安全策略，在本地机器。点击"管理ip筛选器表和筛选器操作"，
2.在"管理ip筛选器列表"选项卡上点击"添加"。
3.弹出"ip筛选器列表"窗口。
4.分别添入名称和描述，如禁用139连接。并点击"添加"，接着会出现一个ip"筛选器向导"，单击下一步。
5.到"指定ip源地址"窗口，在"源地址"中选择"任何ip地址"，点击下一步。
6.在"ip通信目标"的"目标地址"选择"我的ip地址"，点击下一步。
7.在"ip协议类型"的"选择协议类型"选择"tcp"，点击下一步。
8.在"筛选器向导"的"设置ip协议端口"里第一栏为"从任意端口"，第二栏为"到此端口"并添上"139"，点击下一步。
9.接着点击"完成" ->然后再单击"关闭" 回到"管理ip筛选器表和筛选器操作"窗口。
10.选择"管理筛选器操作"选项卡点击"添加"。
11.同样会出现一个"筛先器操作向导"的窗口，点击"下一步"，在"名称"里添上"禁用139连接"。
12.按"下一步"，并选择"阻止"，再按"下一步"。
13.点击"完成"和"关闭"。
本文地址：http://com.8s8s.com/it/it24862.htm