前言

Windows XP 雖已停止支援，但仍有特定環境需運行。為降低風險，必須徹底關閉不必要服務、封鎖高危連接埠、強化登錄設定。本文提供 20 步驟完整配置流程，從共享檢查、連接埠封鎖、服務精簡到登錄優化，建立較安全的 XP 運行基線。

第一階段：共享與連接埠清理

1. 檢查本地共享資源

執行 cmd → 輸入 net share。若發現異常共享（非預設 admin$, C$, IPC$），系統可能已被入侵或中毒，需立即掃毒並追查。

2. 刪除預設管理共享

逐行執行：

net share admin$ /delete
net share c$ /delete
net share d$ /delete
...

（若有 E、F 槽依此類推）

3. 封鎖 IPC$ 空連線

開啟 regedit，定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA，將 RestrictAnonymous 從 0 改為 1，限制匿名列舉。

4. 關閉 TCP 139 連接埠 (NetBIOS)

「網路連線」→「區域連線」右鍵「內容」→「Internet 通訊協定 (TCP/IP)」→「進階」→「WINS」→ 勾選 停用 TCP/IP 上的 NetBIOS。

5. 防範 RPC 漏洞

「服務」中找到 Remote Procedure Call (RPC) Locator，將「第一/二/後續失敗」動作皆設為「無動作」。注意：XP SP2、Win2000 SP4 已修補此漏洞。

6. 關閉 TCP 445 連接埠

登錄新增 DWORD 值：
路徑：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters
名稱：SMBDeviceEnabled，類型 REG_DWORD，值 0。

7. 關閉遠端桌面 3389 連接埠

XP：「我的電腦」右鍵「內容」→「遠端」→ 取消勾選「遠端協助」與「遠端桌面」。
Win2000 Server：停用「Terminal Services」服務並設為手動。
Win2000 Professional 無此服務，勿誤信網路錯誤教學。

8. 防範 4899 木馬連接埠

4899 為遠控軟體 (Radmin) 連接埠，非系統內建。做好基本防護（防火牆、強密碼、修補漏洞），木馬難以植入。

第二階段：高風險服務精簡

開啟 services.msc，建議停用並設為「已停用」的服務：

服務名稱	功能	風險
Alerter	傳送系統警示	資訊洩漏
ClipBook	剪貼簿跨機共享	資料外洩
Distributed File System	分散式檔案共享	遠端存取風險
Distributed Link Tracking Server	網域連結追蹤	非網域環境無用
Human Interface Device Access	HID 裝置存取	非必要
IMAPI CD-Burning COM Service	光碟燒錄	非必要
Indexing Service	檔案索引	洩露檔案內容、拖慢效能
Kerberos Key Distribution Center	Kerberos 認證	非網域環境無用
License Logging	IIS/SQL 授權記錄	未裝 IIS/SQL 可停
Messenger	訊息傳遞 (net send)	垃圾訊息、資訊洩漏

第三階段：登錄與系統優化

9. 關機自動清除分頁檔（防機密殘留）

路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
新增/修改 ClearPageFileAtShutdown = 1 (REG_DWORD)。

10. 禁止建立 8.3 短檔名（提升 NTFS 效能）

路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem
NtfsDisable8dot3NameCreation = 1。

11. 關閉 Last Access 時間戳更新

同路徑，NtfsDisableLastAccessUpdate = 1。

12. 增加快取管理員記憶體門檻

路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
LargeSystemCache = 1（伺服器/大記憶體機器適用）。

13. 禁用自動播放（防 USB 病毒）

路徑：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
新增 DWORD NoDriveTypeAutoRun = 0xFF (255)。

14. 隱藏磁碟機圖示（選用）

同路徑，新增 DWORD NoDrives，位元遮罩對應盤符（如隱藏 D: 設 0x08）。

15. 限制匿名存取 SAM 帳號

路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
RestrictAnonymousSAM = 1。

第四階段：防火牆與防毒

16. 開啟 Windows 防火牆（SP2 以上）

「控制台」→「Windows 防火牆」→ 選「開啟」，例外清單僅保留必要項目。

17. 安裝並更新防毒軟體

務必安裝支援 XP 的防毒軟體（如 Avast、Bitdefender 舊版、ClamWin），病毒碼每日更新，啟用即時掃描。

18. 套用所有可用修補程式

離線安裝「Windows XP SP3」+「POSReady 2009 修補程式包」或使用 WSUS Offline Update 產生離線更新包。

19. 使用受限使用者帳號日常操作

建立標準帳號日常使用，僅在安裝軟體/系統維護時切換至 Administrator。

20. 定期備份與建立還原點

「系統工具」→「系統還原」建立還原點；重要資料離線備份（外接硬碟、雲端）。

結語

完成上述 20 步，XP 系統將關閉多數對外攻擊面，大幅降低被自動化蠕蟲、掃描器入侵的機率。但請銘記：離線或隔離網段運行才是根本之道。若需連接現代網路，請務必升級至受支援的作業系統。