每個網絡服務都綁定特定端口，關閉無用服務等同於關閉對應端口，是服務器/主機加固的基礎動作。本文梳理 Windows 2000/XP/Server 2003 時代經典的高危服務-端口映射表，並提供服務管理器、註冊表、防火牆三種關閉路徑，原理放之四海而皆準。

高危服務-端口映射總表

端口	協議	服務名稱 (顯示名/服務名)	功能描述	風險等級	建議動作
7, 9, 13, 17, 19	TCP/UDP	Simple TCP/IP Services	Character Generator, Daytime, Discard, Echo, Quote of the Day	中	禁用服務
21	TCP	FTP Publishing Service	IIS FTP 服務，明文傳輸帳號密碼	高	禁用/改用 SFTP
23	TCP	Telnet	遠程命令行登錄，明文傳輸	極高	禁用/改用 SSH
25	TCP	Simple Mail Transfer Protocol (SMTP)	郵件發送，開放中繼風險	高	非郵件服務器禁用
80	TCP	World Wide Web Publishing Service	IIS Web 服務	中	非 Web 服務器禁用
135	TCP	RPC Endpoint Mapper	DCOM/RPC 動態端口分配，漏洞高發	極高	防火牆限制訪問源
139	TCP	NetBIOS Session Service	文件/打印共享，SMBv1 漏洞溫床	極高	禁用 NetBIOS over TCP/IP
445	TCP	SMB over TCP (Server 服務)	文件共享、永恆之藍利用端口	極高	非文件服務器禁用 Server 服務
3389	TCP	Remote Desktop Services	遠程桌面，暴力破解/零日漏洞首選	極高	改端口/僅允許特定 IP/啟用 NLA/RD Gateway

三種關閉路徑

路徑一：服務管理器 (services.msc) — 圖形界面最直觀

1. Win+R → services.msc
2. 找到目標服務（如「World Wide Web Publishing Service」）
3. 右鍵「屬性」→「啟動類型」改為 禁用 → 「停止」服務 → 確定
4. 優點：持久化、重啟生效、可見性強

路徑二：註冊表 — 適合批量腳本/無人值守部署

# 禁用服務通用鍵值
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\]
"Start"=dword:00000004   # 4=禁用, 2=自動, 3=手動
# 例: 禁用 Server 服務 (關閉 445/139)
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer]
"Start"=dword:00000004

路徑三：Windows 防火牆高級安全 — 不停用服務僅阻斷網絡訪問

1. Win+R → wf.msc
2. 「入站規則」→「新建規則」→「端口」→ TCP → 特定本地端口 135,139,445,3389
3. 操作：阻止連接 → 所有配置文件 → 命名「Block High Risk Ports」
4. 優點：服務保持運行（本地進程通信不受影響），僅阻斷網絡攻擊面

關鍵服務深度解析

Server 服務 (LanmanServer) — 關閉 139/445 的核心

提供 RPC 支持、文件/打印/命名管道共享。禁用後：

• ✅ 移除默認共享 C$、ADMIN$、IPC$
• ✅ 斷絕 SMB 攻擊面（永恆之藍、勒索病毒橫向移動）
• ⚠️ 影響：本機無法作為文件服務器、無法訪問他機共享、網上鄰居不可見
• 💡 個人工作站 強烈建議禁用，文件交換用網盤/NAS/共享文件夾（SMB 簽名/加密）

NetBIOS over TCP/IP 禁用 — 徹底封死 139

1. ncpa.cpl → 右鍵網卡 → 屬性 → 「Internet 協議版本 4」→ 屬性 → 高級 → WINS 標簽
2. 勾選 「禁用 TCP/IP 上的 NetBIOS」
3. 或註冊表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\Interfaces\{GUID} → NetbiosOptions=2

驗證端口關閉狀態

# 本機檢查
netstat -an | findstr "LISTENING"
# 遠程掃描
nmap -sS -p 21,23,25,80,135,139,445,3389 <目標IP>
# PowerShell 測試連接
Test-NetConnection -ComputerName <目標IP> -Port 445

現代服務器加固基線 (CIS Benchmarks / Microsoft Security Baselines)

• 僅啟用業務必需服務，其餘全部「禁用」
• 啟用 Windows Defender 應用程序控制 (WDAC) 強制簽名執行
• 配置防火牆「默認拒絕入站，默認允許出站」，按需放行
• 部署 EDR 監控進程/網絡/文件/註冊表異常行為
• 定期掃描：Nessus/OpenVAS/微軟基線分析器

關閉端口不是目的，縮小攻擊面才是目的。理解服務-端口映射關係，區分「停用服務」與「阻斷網絡」兩種語義，根據業務場景選擇最適策略。現代加固已從「手動關端口」進化為「基線合規+持續監控+自動化修復」，但底層邏輯不變。