IPC$ (命名管道) 與預設共享 (C$, D$, Admin$) 是 Windows 檔案共享與遠程管理的基石，也是駭客側向移動、權限提升的高速公路。本文提供四種防護等級，從註冊表硬化到防火牆封鎖，徹底切斷攻擊路徑。

概念釐清

• 空連線：無憑證建立的匿名 Session (Null Session)，可枚舉共享、用戶、原則、註冊檔。
• IPC$：進程間通訊共享，需驗證帳密才能存取，合法管理工具 (如 `net use`, `psexec`, `wmic`) 依賴它。
• 預設共享：系統自動建立的管理用共享 (C$, D$... 磁碟根目錄、`Admin$` = `%SystemRoot%`)。

方案 A：註冊表硬化 (最徹底、持久)

1. 刪除現有共享 (重開機前暫時生效)：
   `net share ipc$ /del`   `net share admin$ /del`   `net share c$ /del` ... (依實際磁碟)
2. 禁止空連線：
   `reg add "HKLM\SYSTEM\CurrentControlSet\Control\LSA" /v RestrictAnonymous /t REG_DWORD /d 1 /f`
3. 禁止預設共享自動建立：
   Server 版：`reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareServer /t REG_DWORD /d 0 /f`
   Pro/Workstation 版：`reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareWks /t REG_DWORD /d 0 /f`
   *鍵值不存在則自行新建 DWORD*

生效：重開機或重啟 Server 服務 (`net stop server & net start server`)。

方案 B：停用 Server 服務 (極端、副作用大)

`net stop lanmanserver` → 會連帶停用依賴服務 (電腦瀏覽器、分散式檔案系統等)。
**不推薦**：失去檔案/列印共享、遠程管理、群組原則應用等核心功能。

方案 C：強複雜密碼防暴力破解 (基礎、必要)

• 所有本地帳號 (特別是 Administrator) 設 ≥16 字元、含四類字元、定期輪換。
• 啟用「帳號鎖定原則」：錯誤 5 次鎖定 30 分鐘。
• **局限**：無法防禦已取得合法憑證 (鍵盤記錄/釣魚/竊取 SAM) 的攻擊者。

方案 D：防火牆/埠口過濾 (網路層封鎖)

• Windows Defender 防火牆 / 硬體防火牆 / 區域網路交換機 ACL：

實戰建議組合

協定/埠口	方向	動作	說明
TCP 139, 445	入站	封鎖	SMB/NetBIOS 會話，非檔案伺服器必封
UDP 137, 138	入站	封鎖	NetBIOS 名稱解析/資料包
TCP 135	入站	封鎖	RPC 端點對應器
TCP 5985, 5986	入站	僅允許管理網段	WinRM (PowerShell 遠程)

環境	推薦組合
獨立工作站/筆電	方案 A (註冊表) + 方案 C (強密碼) + 方案 D (防火牆封 139/445/135)
域環境工作站	方案 C + 方案 D (允許域控/管理伺服器 IP 存取 445/135) + GPO 下發 RestrictAnonymous=1
檔案伺服器	**不可關閉共享** → 方案 C + 方案 D (來源 IP 白名單) + 啟用 SMB 簽名/加密 (SMB 3.0+) + 審計存取日誌

核心原則：**預設拒絕、最小權限、纵深防禦**。IPC$/預設共享是雙面刃，**業務需要才開啟、開啟必加鎖、持續審計存取日誌**。