為什麼要修改3389端口？

Terminal Services（終端服務）默認監聽TCP 3389。駭客廣泛使用掃描工具（如Masscan、ZMap）全網掃描開放3389的主機，再發動暴力破解、憑證填充、利用CVE-2019-0708（BlueKeep）等漏洞攻擊。修改默認端口可**大幅降低自動化掃描命中率**，屬於「安全通過模糊性」的輔助防禦措施。

服務端修改（註冊表雙鍵值同步）

1. 打開regedit，定位兩個鍵值：

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]
"PortNumber"=dword:00000d3d   ; 默認3389 (0xD3D)，修改為自定義端口（如53389=0xD07D）

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]
"PortNumber"=dword:00000d3d   ; 必須與上一鍵值一致

3. 重啟系統或重啟「Terminal Services」服務生效。
4. 防火牆同步放行新端口（入站規則：TCP 新端口 允許）。

客戶端連接配置

Windows XP / 2003 / Vista / 7 / 10 / 11 通用：.rdp文件法

1. 運行mstsc.exe → 「選項」展開 → 填寫「電腦：IP:新端口」（如192.168.1.100:53389）。
2. 「另存為」→ 生成connection.rdp文件。
3. 雙擊.rdp即可直連新端口（無需手動輸入）。

Windows 2000 專用：.cns文件法

1. 運行「Client Connection Manager」創建新連接指向修改後的服務器。
2. 導出為server.cns（ASCII文本）。
3. 文本編輯器打開，找到Server Port=3389改為新端口。
4. 導入Client Connection Manager覆蓋原連接。

進階防護：端口修改只是起點

措施	實施要點
網路層級認證（NLA）	系統屬性→遠程→勾選「僅允許運行使用網路層級認證的遠程桌面的電腦連接」（需客戶端支援CredSSP）
強密碼+帳號鎖定策略	本地安全策略：帳號鎖定閾值5次、鎖定時間30分鐘、重置計數器30分鐘
限制登入用戶/組	「遠程桌面用戶」組僅加入必要賬號，移除Administrators直接登入
VPN/堡壘機/零信任準入	不直接暴露RDP至公網，統一通過VPN/ZTNA/堡壘機代理訪問
修改默認Administrator帳號名	本地安全策略→賬號：重命名管理員帳號
啟用RDP日誌審計	事件查看器→應用程式和服務日誌→Microsoft→Windows→TerminalServices-LocalSessionManager/RemoteConnectionManager

驗證修改生效

netstat -an | findstr :53389   ; 應顯示 LISTENING
nmap -p 53389 192.168.1.100    ; 外部掃描確認端口開放

修改端口成本極低、見效即時，是暴露在公網的Windows服務器**必做**的基礎加固動作之一。