共享雙刃劍：便利與風險並存

局域網文件共享極大提升協作效率，但也為掃描工具、木馬植入、數據竊取敞開大門。放棄共享不現實，在細節處構建纵深防禦才是正道。

一、選對系統：先天免疫力很重要

• Win98/Me：先天共享漏洞多（如C盘共享下\\host\C\CON\CON導致藍屏），微軟已停止更新，**強烈建議淘汰**。
• Win2000/XP/2003：安全架構較完善，**必打補丁**：Win2000 SP4、XP SP2可堵住大多數已知共享漏洞。

二、共享密碼：基礎防線必須立起

• 雖有破解工具，但能阻擋90%以上機會性掃描與內部好奇嘗試。
• 密碼策略：≥12字元、大小寫數字符號混合、定期輪換、不重複使用。

三、藏好共享：三種隱藏技巧

1. 命令行隱藏所有共享

net config server /hidden:yes

執行後「網上鄰居」不再顯示本機任何共享。

2. $後綴隱藏單個共享

共享名稱後加$（如Data$），「網上鄰居」隱形，知情者輸入\\IP\Data$可訪問。

3. 註冊表全局隱藏

1. regedit → HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
2. 修改hidden值為1（REG_DWORD）。
3. 重啟生效，所有共享自動隱藏。

四、及時打補丁：堵住已知漏洞

• 僅從微軟官方/微軟中國官網下載補丁，第三方來源可能攜帶後門。
• 重點補丁：Win98 C盘共享藍屏漏洞、共享通道植入木馬漏洞等。

五、用完即撤：共享狀態動態管理

• 習慣：用畢立即取消共享（net share sharename /delete）。
• 原則：**絕不整盤共享**，僅共享空文件夾，按需放入文件，設置「唯讀」。

六、默認共享自動清除：開機腳本法

1. 建立autodel.bat：
   @echo off
net share c$ /delete
net share d$ /delete
net share ipc$ /delete
net share admin$ /delete
2. gpedit.msc → 用戶配置 → Windows設置 → 腳本(登錄/注銷) → 登錄 → 添加autodel.bat。
3. 重啟驗證：net share無默認共享輸出。

七、共享端口過濾：切斷攻擊入口

139（NetBIOS Session）、445（SMB over TCP）是共享服務核心端口，亦是掃描首選目標。

TCP/IP篩選法（主機級）

1. 網路連線 → 區域連線屬性 → TCP/IP屬性 → 進階 → 選項 → TCP/IP篩選 → 啟用。
2. TCP埠：「僅允許」添加業務必需埠（80, 443, 3389等），**排除139、445**。
3. UDP埠同理處理（137、138為NetBIOS）。

防火牆/邊界設備法（網路級，推薦）

邊界防火牆/路由器ACL封鎖外部訪問139/445；內部VLAN間按業務需求放行。Windows防火牆亦可配置「輸入規則」封鎖這兩個埠。

總結：共享安全檢查清單

檢查項	標準	檢查頻率
作業系統版本與補丁級別	Win2000 SP4+ / XP SP2+ / 2003 SP2+，關鍵補丁100%覆蓋	月度
共享密碼複雜度	≥12字元，四類字符，非字典詞	季度輪換
敏感共享是否隱藏（$或註冊表）	所有非公開共享100%隱藏	月度
默認共享（C$, D$, IPC$, ADMIN$）	開機自動刪除腳本生效	每次重啟驗證
139/445端口對外封鎖	邊界ACL + 主機防火牆雙重封鎖	變更即驗證
共享目錄NTFS ACL	最小權限，無Everyone/Users寫入權限	季度審計

共享安全無小事，每一個配置細節都是阻擋攻擊者的關鍵門檻。