目录

TCP135端口

UDP137、138端口

TCP139、445端口


首先,这几个端口都是与文件共享和打印机共享有关的端口,而且在这几个端口上经常爆发很严重的漏洞。比如危害全球的永恒之蓝,就是利用的445端口。

首先我们来了解一些基础知识:

  • SMB:(Server Message Block) Windows协议族,用于文件打印共享的服务;
  • NBT:(NETBIOS Over TCP/IP)使用137(UDP)138(UDP)139(TCP)端口实现基于TCP/IP协议的NETBIOS网络互联

从 Windows 95 开始,Microsoft Windows 操作系统支持 SMB 协议 ,但是由于SMB由于有漏洞。所以在Windows Vista之后,Windows开始使用 SMB2 协议。也就是自Vista之后的WIN7、Windows Server 2008等都是用的SMB2 协议。而Windows XP和Windows Server2003及其之前的机器都是用的SMB协议。

在WindowsNT中,SMB除了基于NBT实现,还可以直接通过445端口实现。

有了这些基础知识,我们就可以进一步来讨论访问网络共享对端口的选择了:

对于winNT客户端(发起端)来说:

  • 如果在允许NBT的情况下连接服务器时,客户端会同时尝试访问139和445端口,如果445端口有响应,那么就发送RST包给139端口断开连接,用455端口进行会话。当445端口无响应时,才使用139端口,如果两个端口都没有响应,则会话失败;
  • 如果在禁止NBT的情况下连接服务器时,那么客户端只会尝试访问445端口,如果445端口无响应,那么会话失败。

对于winNT服务器端来说:

  • 如果允许NBT, 那么UDP端口137、138,TCP 端口 139,445将开放;
  • 如果禁止NBT,那么只有445端口开放。

Windows默认开放135、137、138、139和445五个端口,主要是方便初级用户操作,即不进行必要地设置就可以使用网络通信和各种共享服务。但这样一来,用户不希望启动或者用不到的一些服务都会随机启动,主机连接因特网后会在用户不知晓的情况下泄露本机信息。因此我们应尽可能的多了解一些这些端口的作用,权衡端口开放的利与弊,然后制定相应的安全策略。

TCP135端口

在Windows默认的五个典型开放端口中,135用途最为复杂,也最容易引起外部攻击。若使用SecurityFriday公司开发的一款名叫 "IEen" 软件进行端口安全性验证,就能清楚地看到这个端口开放是非常的危险的。

IEen是一种远程操作IE浏览器的工具。使用它不仅可以获得其它电脑IE浏览器的信息,而且还可以对浏览器进行操作。具体而言,就是可以得到正在运行的IE浏览器的窗口一览表、各窗口所显示的Web站点的URL和Cookie,以及在检索站点中输入的检索关键词等信息。

IEen使用的是 Windows NT4.0/2000/XP 集成的分布式对象技术 DCOM(分布式组件对象模块),可以远程操作其他电脑中的DCOM应用程序。该技术使用的是 RPC(Remote Procedure Call,远程过程调用)服务。

这个RPC服务使用的就是135端口。RPC是 Windows 操作系统使用的一个远程过程调用服务。RPC 提供了一种进程间的通信机制,通过这一机制,允许在某台计算机上运行的程序流畅地在远程系统上执行代码。协议本身源自OSF(开放式软件基础)RPC 协议,但增加了一些 Microsoft 特定的扩展 。由于使用 RPC 的程序不必了解支持通信的网络协议的情况,因此 RPC 提高了程序的互操作性。

因为在 RPC 中发出请求的程序是客户程序,而提供服务的程序是服务器。所以利用RPC功能进行通信时,就会向对方电脑的135端口询问可以使用哪个端口进行通信。这样,对方的电脑就会告知可以使用的端口号。在非加密状态下,使用IEen可以看到对方电脑本应受到SSL保护的数据,甚至能够直接看到比如在网络银行等输入的银行现金卡密码等信息。所以也不可避免地暴露了漏洞。攻击者能利用该漏洞在受影响的系统上以本地系统权限运行代码,执行任何操作,包括安装程序,查看、更改或者删除数据,或者建立系统管理员权限的帐户。针对这一漏洞的蠕虫病毒有许多。早期的这些蠕虫病毒只是攻击此漏洞,造成远端系统的崩溃,而大名鼎鼎的冲击波漏洞”则会利用这一漏洞进行快速传播,轻而易举地控制他人的IP地址和注册名,使更多的个人或公司系统遭殃。

回避这种危险的最好办法是关闭RPC服务。如果不使用DCOM特定的应用程序如 Web服务器、邮件或DNS服务器等,即便关闭135端口,也不会出现任何问题。关闭RPC服务的方法是在“控制面板”的“管理工具”中选择“服务”,在“服务”窗口中打开“Remote Procedure Call”属性,在属性窗口中将启动类型设置为“已禁用”,重新启动电脑,RPC就不再运行。也可打开注册表编辑器,将“HKEY_LOCAL_MACHINE//SYSTEM//CurrentControlSet//Services//RpcSs”的“Start”的值由0x04变成0x02后,重新起动机器即生效。

  • 管理面板——>管理工具——>服务——>“Remote Procedure Call”属性,设置为禁止启用

  • Win+R——>regedt32——>打开注册表编辑,将“HKEY_LOCAL_MACHINE//SYSTEM//CurrentControlSet//Services//RpcSs”的“Start”的值由0x04变成0x02后,重新起动机器即生效。

不过,关闭RPC服务后会给Windows的运行带来很大的影响。因为Windows的很多服务都依赖于RPC,而这些服务在将RPC设置为无效后将无法正常启动。比如,如果客户端关闭了135端口,就无法使用Outlook连接Exchange Server。因为管理分布式处理的MSDTC、负责应用程序之间的信息交换的MSMQ以及动态地向连接网络的电脑分配地址的DHCP等服务也都使用这个端口。同时, Windows 启动的速度会变的非常慢。

关闭RPC服务弊端非常大,一般不能轻易关闭。但为了避免遭受攻击,网络客户端却可以禁止远程登录电脑。方法是依次选择“控制面板”、“管理工具”和“本地安全策略”,打开本地安全设置窗口,选择本地策略中的“用户权利指派”,然后利用该项下的“拒绝从网络访问这台计算机”,指定拒绝访问的对象。如果想拒绝所有的访问,最好指定为“Everyone”。

在公司内部,如果不想让其他计算机操作自己电脑,可以将DCOM设置为无效。方法是用DOS命令运行Windows NT/2000/XP标准集成的“dcomcnfg.exe”工具。从打开的分布式COM配置属性窗口中,选择“默认属性”页标,取消“在这台计算机上启用分布式COM”选项即可。
       DCOM(分布式对象模型)是一种能够使软件组件通过网络直接进行通信的协议。DCOM 以前叫做“网络 OLE”,它能够跨越包括 Internet 协议(例如 HTTP)在内的多种网络传输。

UDP137、138端口

只需向对方Windows的137端口发送一个询问连接状态的信息包,就可以得到该机的计算机名和注册用户名,该机是否为主域控制器和主浏览器、是否作为文件服务器使用、IIS和Samba是否正在运行以及Lotus Notes是否正在运行等信息。

不只是公司内部网络,连接因特网的电脑也是如此。只要知道对方的IP地址,就可以向这台电脑的137端口发送一个请求,获得诸多信息。如果捕捉到正在利用137端口进行通信的信息包,还有可能得到目标主机的启动和关闭时间。这是因为Windows起动或关闭时会由137端口发送特定的信息包。如果掌握了目标主机的起动时间,就可以非常轻松地使用上一次所讲的IEen等软件通过135端口操作对方的DCOM。

137端口为什么会使各种信息包泄漏到网络上呢?这是因为,在Windows网络通信协议——“NetBIOS over TCP/IP(NBT)”的计算机名管理功能中使用的是137端口(计算机名管理是指Windows网络中的电脑通过用于相互识别的名字——NetBIOS名,获取实际的IP地址的功能。)为了得到通信对象的IP地址,137端口就要交换很多信息包。

137端口信息包泄漏主要有两种途径:  

  • 一种途径,位于同一组中的电脑之间利用广播功能进行计算机名管理。电脑在起动时或者连接网络时,会向位于同组中的所有电脑询问有没有正在使用与自己相同的NetBIOS名的电脑。每台收到询问的电脑如果使用了与自己相同的NetBIOS名,就会发送通知信息包。这些通信是利用137端口进行的。
  • 另一种途径,利用WINS(Windows因特网名称服务)管理计算机名。被称为WINS服务器的电脑有一个IP地址和NetBIOS名的对照表。WINS客户端在系统起动时或连接网络时会将自己的NetBIOS名与IP地址发送给WINS服务器。当主机与其他计算机通信时,会向WINS服务器发送目标主机NetBIOS名,然后WINS服务器会根据NetBIOS名将ip地址发回给主机。这种方法也使用137端口。

随意地泄漏这样的信息,就好像是很友好地告诉攻击者应该如何来攻击自己的电脑。使恶意攻击者根本不必特意地通过端口扫描来寻找,就可以下手入侵。比如,如果知道IIS服务正在运行,就可以轻松地了解这台电脑上已经起动的服务。这对入侵者来说,恶意攻击简直太方便了。

138端口提供NetBIOS的浏览功能。在该功能中,被称为主浏览器的电脑管理着连接于网络中的所有电脑,该电脑上存在该网络内所有电脑的浏览列表。比如,在Windows2000中,从“网上邻居”选择了“整个网络”后,就能清楚地看到连接网络的所有的邻近电脑。

138端口提供NetBIOS的浏览功能。该功能使用的是与137端口计算机名管理不同的运行机制,主要用来显示连接于网络中的电脑一览表。每台电脑在起动时或连接网络时都会利用138端口广播自己的NetBIOS名,将自己的电脑信息发送给同组中的所有电脑。 收到NetBIOS名的主浏览器会将这台电脑追加到浏览列表中。当收到浏览列表显示请求时,收到请求的主浏览器会发送浏览列表给请求的主机。关闭电脑时,主机会通知主浏览器,以便让主浏览器将自己的NetBIOS名从列表中删除掉。尽管138端口的信息量没有137端口那么多,但也存在不容忽视的安全隐患。

NetBIOS服务主要使用137和138端口的向外部发送自己信息。NetBIOS主要用于Windows网络中,虽然Windows 2000以上的版本,不使用NetBIOS也能够管理计算机名,完全可以停止NBT,但会降低Windows网络使用的方便性,如无法显示用于寻找文件共享对象的信息。这对于基于公司内部网络环境构筑Windows网络的电脑来说,NetBIOS服务还是必要的。

停止NetBIOS服务,首先由控制面板中选择目前正在使用的网络连接,在属性窗口中查看“Internet协议(TCP/IP)”的属性。在“常规”页标中单击“高级”按钮,在“WINS”页标中选择“禁用TCP/IP上的NetBIOS(S)”即可。这样,就可以关闭137、138以及后面将要讲到的139端口。

需要注意的一点。NetBEUI协议如果为有效,NetBIOS服务将会继续起作用。在Windows 95中,NetBIOS是在默认条件下安装的。在更高的Windows版本中,如果选择也可以安装。所以不仅要停止NBT,还应该确认NetBEUI是否在起作用。如果使用NetBEUI,即便关闭137端口,也仍有可能向外部泄漏信息。

TCP139、445端口

139和445端口的通信过程是通过SMB(服务器信息块)协议实现的。即根据DNS服务器中的名字列表信息,寻找需要通信的对象。如果顺利地得到对象的IP地址,就可以访问共享资源 。Windows 2000以前版本的Windows使用NetBIOS协议解决各计算机名的问题。通过向WINS服务器发送通信对象的NetBIOS名,取得IP地址。而Windows2000以后的版本所采用的CIFS则利用DNS解决计算机的命名问题。

在SMB通信中,首先要取得通信对象的IP地址,然后向通信对象发出开始通信的请求。如果对方充许进行通信,就会确立会话层(Session)。并使用它向对方发送用户名和密码信息,进行认证。如果认证成功,就可以访问对方的共享文件。在这些一连串的通信中使用的就是139端口。

除此之外,Windows 2000以后的系统还使用445端口。文件共享功能本身与139端口相同,但该端口使用的是与SMB不同的协议。这就是在Windows 2000中最新使用的CIFS(通用因特网文件系统)协议。CIFS和SMB解决计算机名的方法不同。SMB使用NetBIOS和WINS解决计算机名,而CIFS则使用DNS。当139和445端口同时打开的话,网络文件共享优先使用445端口。当445端口关闭时,网络文件共享使用139端口。但是自从win10开始,文件共享只使用445端口,445端口关闭的话,则不能使用文件共享服务。因此,在文件服务器和打印服务器使用Windows的公司内部网络环境中,就无法关闭139和445端口。

在默认设置下,Windows会开放提供文件共享服务的TCP 139号端口。一旦文件共享服务起动,系统就会进入等待状态。而共享资源则可以利用net命令轻松地进行分配。尽管C盘如果没有管理员权限就无法共享,但如果不经意地将Guest帐号设置为有效以后,攻击者就能够访问C盘,非常轻松地破坏硬盘。如果客户端使用Windows 2000以上系统构成的网络,自身不公开文件,就可以关闭这两个端口。这是因为如前所述,该网络只用445端口就能够进行文件共享。由于在解决计算机名过程中使用DNS,所以也可以关闭137和138端口。而在很多情况下,文件共享和打印机共享在普通的业务中必须使用139端口通过SMB协议进行通信,因此就无法关闭139端口。另外,浏览时还需要137~139端口。

公开服务器绝对应该关闭这些端口
        在因特网上公开的服务器要另当别论。公开服务器打开139和445端口是一件非常危险的事情。就像本文开头所说的那样,如果有Guest帐号,而且没有设置任何密码时,就能够被人通过因特网轻松地盗看文件。如果给该帐号设置了写入权限,甚至可以轻松地篡改文件。也就是说在对外部公开的服务器中不应该打开这些端口。通过因特网使用文件服务器就等同自杀行为,因此一定要关闭139和445端口。对于利用ADSL永久性接入因特网的客户端机器可以说也是如此。

要关闭139端口,与137和138端口一样,可以选择“将NetBIOS over TCP/IP设置为无效”。而要想关闭445端口则必须进行其他工作。利用注册表编辑器在“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetBTParameters”中追加名为“SMBDeviceEnabled”的DWORD值,并将其设置为0,然后重新起动机器。

相关文章:Linux文件共享服务之Samba

Windows中的共享文件和文件服务器
                  IPC$共享

135、137、138、139和445端口相关推荐

  1. 微软域服务器关闭445,服务器在已经屏蔽 445,135,137,138,139;69端口后依然由于bugcheck重启...

    开始windows服务器收到永恒之蓝攻击event显示由于bugcheck导致重启,在服务器屏蔽 445,135,137,138,139;69端口后依然由于bugcheck重启,怀疑是驱动问题,请帮忙 ...

  2. win server服务器 关闭危险端口 135,137,138,139,445的方法

    Windows默认开放135.137.138.139和445五个端口,都与文件共享和打印机共享有关的,若机器连接网络后会在用户不知道的情况下泄露本机部分信息,这样会给用户带来一部分危险,所以我们在工作 ...

  3. 135,137,138,139,445端口作用

    如果全是2000以上的系统,可以关闭137.138.139,只保留445 如果有98系统,可能以上四个端口全部要打开 无论你的服务器中安装的是Windows 2000 Server,还是Windows ...

  4. 135.137.138.139.445端口分析

    无论你的服务器中安装的是Windows 2000 Server,还是Windows Server 2003,它们无一例外会在默认安装下开通135端口.137端口.138端口.139端口和445端口.这 ...

  5. 关闭135/137/138/139/445端口防止勒索病毒

    目前勒索病毒软件疯狂,因此本人小小的写了一个关闭端口的bat脚本 把一下内容写到记事本,保存为bat可执行文件即可.目前测试了win7,win10,win2008 r2都没问题. 欢迎反馈 netsh ...

  6. Window关闭端口的方法(445/135/137/138/139/3389等)

    为防止漏洞被利用,需要采取必要措施,关闭以上端口,以保证系统更加安全. window2003 关闭135端口的方法 要关闭此端口,只需停止DCOM接口服务即达到目的.下面是详细操作过程. 1.打开&q ...

  7. 封禁135、137、139、445端口

    控制面板-管理工具-本地安全测策略选择IP安全策略,在本地计算机.右侧空白处新建"创建IP安全策略" 添加完后点确定 选择[筛选器操作] 致此端口封闭完成,可用telnet 127 ...

  8. TCP和UDP的135、137、138、139、445端口的作用

    1.说明: 如果全是2000以上的系统,可以关闭137.138.139,只保留445 如果有xp系统,可能以上四个端口全部要打开 无论你的服务器中安装的是Windows 2000 Server,还是W ...

  9. Symantec赛门铁克企业版本防火墙怎么防止勒索病毒Symantec赛门铁克关闭137,138,139,445端口​

    Symantec赛门铁克企业版本防火墙怎么防止勒索病毒Symantec赛门铁克关闭137,138,139,445端口​ 我是否受到WannaCry勒索软件的保护? Symantec Data Cent ...

  10. 137/138/139/445端口

    同属于UDP端口,用于提供netbios服务,此服务用于提供计算机名称的查询 使用者通过向某台计算机的137端口发起一个请求,就可以获取该计算机的名称.注册用户名,以及是否安装主域控制器.IIS是否运 ...

最新文章

  1. poj - 2243 Knight Moves
  2. 信息化监理是请来的第三者?
  3. 中国人民银行:关于防范代币发行融资风险的公告
  4. mysql count if 去重_MYSQL数据去重
  5. 下一代网络安全将全部基于行为识别
  6. Python实例讲解 -- wxpython 基本的控件 (文本)
  7. Docker容器学习梳理-容器时间跟宿主机时间同步
  8. Linux 安装多个版本JDK并设置默认版本
  9. linux进程理解,进程资源 - 进程基础 - [ 理解Linux进程 ] - 手册网
  10. Mysql学习总结(81)——为什么MySQL不推荐使用uuid或者雪花id作为主键?
  11. initBinder转换日期格式
  12. 3年了,我依旧单身,而微信小程序已经普及了
  13. SQL*Plus生成html文件
  14. 智能优化算法(源码)-飞蛾扑火优化算法(MFO)
  15. Android P环境 bootchart使用
  16. 如何正确地在Spring Data JPA和Jackson中用上Java 8的时间相关API(即JSR 310也即java.time包下的众神器)...
  17. Senparc.Weixin.MP SDK 微信公众平台开发教程(五):使用Senparc.Weixin.MP SDK
  18. 遥控汽车的编程c语言,智能小车循迹、避障、红外遥控C语言代码.docx
  19. OpenGL: 圆柱面绘制贴图
  20. 速卖通商品详情API接口(商品详情页面数据接口)

热门文章

  1. 【数理逻辑三】命题逻辑及形式系统【下】
  2. 是时候放弃循环神经网络了
  3. 视频文件格式扩展名/专用名词详解
  4. 麻省理工学院公开课:MBA金融学、字幕、去时间轴版
  5. C++ control reaches end of non-void function [-Werror=return-type]
  6. 电脑时间不准怎么办?电脑时间不准怎么修复?
  7. java吸_结对编程(java)
  8. 祝贺光环2014年6月28日PMP考试通过率90.28%
  9. autojs的使用文档
  10. Android 10文档阅读总结