前言

主流家用系統為 WinXP/Win2000 Pro（建議棄用 Win98）。本文歸納七大入侵途徑，給出從共享、埠口、服務、帳戶、策略、審計、終端服務、工具八大維度的加固清單。

常見入侵途徑

1. 密碼被盜
2. 木馬攻擊
3. 惡意 JavaScript 攻擊
4. QQ 攻擊/洩密
5. 病毒感染
6. 系統漏洞被利用
7. 駭客惡意攻擊

加固清單

1. 查看並刪除本地共享

cmd → net share 查看，異常共享立即刪除。若重啟後恢復，疑似被控或中毒。

2. 逐條刪除共享命令

net share admin$ /delete
net share c$ /delete
net share d$ /delete
...

3. 禁止 IPC$ 空連接

註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\RestrictAnonymous：0 → 1。

4. 關閉 139 埠 (NetBIOS)

「網路連線」→「本地連線」→「Internet 協定 (TCP/IP)」→「進階」→「WINS」→ 勾選「停用 TCP/IP 上的 NetBIOS」。

5. 防範 RPC 漏洞

「服務」→「Remote Procedure Call (RPC) Locator」→ 故障恢復：第一/二/後續失敗全設「無動作」。XP SP2/2000 SP4 已修補此漏洞。

6. 關閉 445 埠 (SMB)

註冊表 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters 新建 DWORD SMBDeviceEnabled = 0。

7. 關閉 3389 埠 (終端服務/遠端桌面)

• XP：「我的電腦」→ 內容 →「遠端」→ 取消勾選「遠端協助」與「遠端桌面」。
• Win2000 Server/Pro：「服務」→「Terminal Services」→ 啟動類型設「手動」並停止（2000 Pro 無此服務，網上教程錯誤）。

8. 4899 埠防範 (Radmin 等遠控軟體)

非系統內建，需植入服務端才能利用。做好基礎加固（強密碼、防火牆、殺毒）即可有效防禦。

9. 停用非必要服務（建議關閉清單）

Alerter、ClipBook、Distributed File System、Distributed Link Tracking Server、Indexing Service、Messenger、NetMeeting Remote Desktop Sharing、Network DDE、Network DDE DSDM、Remote Desktop Help Session Manager、Remote Registry、Routing and Remote Access、Server、TCP/IP NetBIOS Helper、Telnet、Terminal Services、Windows Image Acquisition (WIA)。
發現不明服務（如 r_server）必須立即停止，極可能為木馬服務端。

10. 帳戶密碼安全原則

• 停用 Guest，重命名 Administrator（越複雜越好，建議中文），設 8 位以上字母數字符號混合強密碼。
• 非管理帳戶勿加入 Administrators 組；若必須加入，同樣設強密碼。
• 在安全模式下設定 Administrator 密碼（正常模式下可進安全模式刪 SAM 破解密碼）。
• 密碼策略建議：啟用複雜度、最小長度 8、最長壽命 42 天、最短壽命 0、記住 0 歷史密碼、禁用可還原加密儲存。

11. 審核原則（記錄關鍵事件）

「本地安全原則」→「本地原則」→「審核原則」：
啟用「成功/失敗」：審核原則變更、登入事件、系統事件、帳戶登入時間、帳戶管理。
僅啟用「失敗」：物件存取、目錄服務存取、特權使用、程序追蹤。
事件檢視器三大日誌（應用程式、安全性、系統）上限設 50 MB、不覆蓋。

12. 安全選項（本地安全原則 → 安全選項）

• 互動式登入：不需 Ctrl+Alt+Del → 啟用（視個人偏好）。
• 網路存取：不允許 SAM 帳戶匿名列舉 → 啟用。
• 網路存取：可匿名存取的共享/命名管道/遠端註冊表路徑/子路徑 → 全部清空值。
• 網路存取：限制匿名存取命名管道和共享 → 啟用。

13. 使用者權限指派

• 「從網路存取這台電腦」：除 Administrator 外刪除其餘預設帳戶，後續添加自建管理帳戶。
• 「從遠端系統強制關機」、「拒絕從網路存取這台電腦」、「透過遠端強制關機」：全部清空或僅保留必要帳戶。

14. 終端服務配置

• 連線 → 內容 →「遠端控制」→「不允許遠端控制」。
• 一般 → 加密等級：「高」+ 勾選「使用標準 Windows 驗證」。
• 網路介面卡 → 最大連線數設 0。
• 伺服器設定 → Active Desktop：停用，限制每用戶單一會話。

15. 使用者與群組策略

「電腦管理」→「本地使用者和群組」→ 建立專屬管理帳戶，移除不必要的內建帳戶權限，實踐最小權限原則。

工具推薦

• 防火牆：ZoneAlarm、Sygate、Kerio
• 主機入侵防禦 (HIPS)：BlackICE、Symantec Client Security
• 反間諜：Microsoft AntiSpyware (現 Windows Defender 前身)、Spybot S&D
• 掃毒：Kaspersky、NOD32、BitDefender

結語

「絕對安全」不存在，但通過關閉多餘共享/埠口/服務、強化帳戶密碼、啟用審核、配置安全選項與使用者權限、部屬主機級防護軟體，可將個人電腦攻擊面壓縮至最小。安全是持續過程，請定期複核清單、更新補丁、升級特徵碼。