IPC$ 與默認共享（C$, ADMIN$）風險

Windows 默認啟用管理共享（IPC$、C$、ADMIN$ 等），供遠程管理使用。但若密碼薄弱或存在漏洞，攻擊者可利用 IPC$ 建立空連接（Null Session） 枚舉用戶、共享、策略，進而發起暴力破解、橫向移動或權限提升。關閉或限制它們是主機加固基礎動作。

四大方案技術對比

方案 A：註冊表深度加固（推薦，持久生效）

1. 刪除現有共享（臨時，重啟會恢復）：
net share ipc$ /delete
net share admin$ /delete
net share c$ /delete
... (依實際共享名逐個刪除)

2. 禁止匿名/空連接枚舉：
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RestrictAnonymous /t REG_DWORD /d 1 /f
# 值說明：0=不限制(默認), 1=禁止匿名枚舉SAM/共享, 2=拒絕無顯式匿名訪問(最嚴格,可能破壞信任關係)

3. 禁用自動創建默認共享：
# Server 版 (Server 2003/2008/2012/2016/2019/2022)
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareServer /t REG_DWORD /d 0 /f
# Professional/Client 版 (XP/7/8/10/11)
reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareWks /t REG_DWORD /d 0 /f

生效方式：重啟 Server 服務 (LanmanServer) 或重啟系統。優點：持久、不影響文件共享功能、可通過GPO批量下發。缺點：需重啟服務/系統。

方案 B：停止 Server 服務（核彈級，不推薦生產環境）

net stop lanmanserver

後果：完全禁用文件/打印共享、命名管道、RPC過命名管道、NetBIOS過TCP/IP等所有依賴 Server 服務的功能。會導致域控制器、文件服務器、打印服務器、甚至某些應用（SQL、Exchange）癱瘓。僅適用於極端加固的孤立主機。

方案 C：強密碼策略（基礎防線，必要但不充分）

• 設置 ≥12 位複雜密碼（大小寫+數字+符號），定期輪換。
• 啟用 帳戶鎖定策略：錯誤 5 次鎖定 30 分鐘。
• 部署 Windows Hello / 智能卡 / FIDO2 金鑰 替代密碼認證。

局限：無法防禦 0-day 漏洞利用、Pass-the-Hash、Kerberos 委派攻擊等繞過認證的手段。

方案 D：網絡層面封鎖（纵深防禦）

• 主機防火牆：入站規則阻斷 TCP 139、445、135/137/138 (UDP) 來自非信任網段的訪問。
• 網絡設備ACL/防火牆：在接入層/核心層封鎖 SMB/RPC 端口跨VLAN/區域訪問。
• IPsec 隔離：僅允許經認證的管理工作站訪問管理共享端口。

最佳實踐建議

1. 基線：方案A（註冊表禁用自動共享+限制匿名枚舉）+ 方案C（強密碼+帳戶鎖定） → 滿足等保三級/PCI-DSS主機加固要求。
2. 增強：加上方案D（網絡微隔離），實現「零信任」網絡存取控制。
3. 驗證：使用 net share、net view \\127.0.0.1、enum4linux、smbclient -L //host -N 確認共享不可見/不可枚舉。
4. 例外處理：域控制器、簇節點、備份代理依賴 ADMIN$/IPC$，需在GPO中排除或配置允許名單。