前言：新電腦上網首要功課——敏感埠口防護

新學期新電腦，安全防護做好了嗎？許多新手忽略敏感埠口屏蔽，特別是 135 埠。一旦駭客利用 135 埠入侵，即可完全控制電腦變成「肉雞」。本文揭秘 135 埠為何成駭客最愛，並提供完整防範方案。

一、為何 135 埠成駭客「抓雞」首選？

1. WMI 服務預設開啟，攻擊面極廣

135 埠是 WMI (Windows Management Instrumentation) 服務預設開啟的埠。WMI 可進行遠端系統管理，僅需一段腳本即可操控遠端電腦，且不易被用戶察覺，極其方便。因此 WMI 入侵又稱「135 埠入侵」。

2. 開放 135 埠的主機數量龐大

每年新增電腦用戶安全意識薄弱、不知如何關閉，導致大量主機暴露 135 埠。甚至高危的 3389 埠 (RDP) 在網路上也能掃描到大量開放主機。

小知識：WMI 全稱「Microsoft Windows 管理規範」，提供命令列方式遠端管理，功能類似遠端桌面 (圖形化)，但更隱蔽。依賴「Windows Management Instrumentation」服務，該服務預設啟動且為系統關鍵服務，難以停用，故被視為「永不被殺的後門」。

二、駭客如何利用 135 埠「抓雞」？實戰步驟解析

Step 1：掃描開放 135 埠的目標

常用工具：S 掃描器 (掃描速度極快)。命令列範例：

S tcp 192.168.1.1 192.168.1.255 135 100 /save

• 前後 IP：掃描起止範圍
• 135：目標埠
• 100：執行緒數 (越大越快)
• /save：儲存結果

注意：Windows 預設限制執行緒為 10，需用工具 (如「比特精靈」BetterSP2.exe) 將限制調大 (如 256) 並重啟。

Step 2：利用 WMI 進行遠端控制

掃描出開放 135 埠的 IP 後，駭客利用 WMI 腳本 (VBScript/PowerShell) 連線目標，執行命令、植入木馬、建立後門、竊取資料、發動進一步攻擊。

三、徹底封鎖 135 埠的防範方案

方案一：停用 WMI 服務 (最徹底，但可能影響管理功能)

1. 執行 services.msc
2. 找到 Windows Management Instrumentation，右鍵「內容」→「啟動類型」改為「已停用」→「停止」服務。
3. 同樣停用 WMI Performance Adapter。

方案二：防火牆封鎖 135 埠 (推薦，保留本地管理)

1. Windows 防火牆 → 進階設定 → 輸入規則 → 新增規則 → 連接埠 → TCP → 特定本機連接埠 135 → 封鎖連線 → 所有設定檔 → 命名「Block TCP 135」。
2. 同理新增 UDP 135 封鎖規則。
3. 若需本地網管存取，可在「範圍」頁僅允許信任子網/管理主機 IP。

方案三：登錄檔禁用 DCOM (深層防護)

修改 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole 下 EnableDCOM 設為 N，重啟生效。這將禁用 DCOM 遠端物件呼叫，徹底切斷 135 埠的遠端利用路徑 (但可能影響某些合法管理工具)。

方案四：部署入侵防禦系統 (IPS) / 端點防護 (EDR)

企業環境建議部署網路層 IPS 偵測封鎖 135 埠異常流量，終端部署 EDR 監控 WMI 異常進程啟動 (如 wmiprvse.exe 異常子進程)。

結語

135 埠因 WMI 服務特性成為駭客「抓雞」高速公路。個人用戶首選防火牆封鎖 TCP/UDP 135；企業需結合服務停用、DCOM 禁用、IPS/EDR 多層防護。記住：關閉不必要的埠，是降低攻擊面最高性價比的動作。