什麼是藍畫面攻擊？

攻擊者利用 Windows 核心處理網路封包的缺陷，發送大量畸形/非標準封包 (NetBIOS、IGMP、ICMP)，導致網路協定堆疊崩潰，觸發 KeBugCheck 產生藍畫面死機 (BSOD)，屬於拒絕服務攻擊 (DoS) 一種。

三大經典攻擊向量

攻擊類型	目標系統	利用協定/連接埠	典型工具	原理
NetBIOS 攻擊 (WinNuke)	Windows 9x/NT/2000	TCP 139 (NetBIOS Session Service)	WinNuke	發送帶 OOB (Out-of-Band) 標記的畸形封包，導致 TCP/IP 堆疊崩潰
IGMP 攻擊	Windows 9x	IGMP (協定號 2)	Doom	大量超大/畸形 IGMP 多播封包耗盡核心資源
ICMP 攻擊	Windows 9x/NT/2000/XP	ICMP (協定號 1)	Ping of Death、Smurf、ICMP Flood	超大 ICMP 封包、偽造來源 IP 廣播放大、洪水攻擊

防火牆防禦設定（以 Windows XP/2000 內建/第三方防火牆為例）

核心原則：最小權限，封鎖非必要協定

1. 封鎖 NetBIOS over TCP/IP
   若非局域網檔案共用環境，防火牆規則拒絕 TCP 139、UDP 137、138 進出
2. 封鎖 IGMP
   非多播應用環境 (IPTV、視訊會議) 應在防火牆規則拒絕協定號 2 (IGMP) 封包
3. 限制 ICMP
   僅允許必要 ICMP 類型：
   Type 0 (Echo Reply)、Type 3 (Destination Unreachable)、Type 11 (Time Exceeded)
   拒絕 Type 8 (Echo Request / Ping) 可防掃描，但可能影響網路診斷

Windows XP 內建防火牆設定步驟

1. 「網路連線」→ 右鍵連線 → 「內容」→「進階」→「設定」
2. 「ICMP」頁籤 → 取消勾選「允許傳入的回應要求」(Ping) 等非必要類型
3. 「例外」頁籤 → 確保「檔案和印表機共用」未被勾選 (非共用環境)
4. 進階設定 → 「ICMP」/「安全性記錄」可進一步微調

進階：登錄直接停用 NetBIOS/IGMP (舊版 Windows)

; 停用 NetBIOS over TCP/IP
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters]
"EnableLMHosts"=dword:00000000
"EnableNetBIOS"=dword:00000000

; 停用 IGMP (需重開機)
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]
"IGMPLevel"=dword:00000000

現代系統 (Vista/7/8/10/11) 保護機制

• 核心網路堆疊重寫，修補早期已知 DoS 漏洞
• Windows 防火牆預設啟用、狀態式檢查、預設拒絕非主動連線的入站封包
• ICMPv4/v6 規則可在「高安全性 Windows 防火牆」精細控制
• 建議：保持系統更新、啟用防火牆、關閉不需的網路服務 (SMBv1、LLMNR、NBNS)

企業級防禦建議

1. 邊界防火牆/UTM 拦截畸形封包、ICMP Flood、IGMP 洪水
2. 啟用 IPS/IDS 簽章偵測 WinNuke、Ping of Death 等經典攻擊特徵
3. 網路分段：伺服器區、桌面區、客戶區隔離，限制廣播域
4. 定期進行滲透測試與 DoS 壓力測試驗證防禦效果

總結

雖然現代 Windows 已大幅強化網路堆疊韌性，但「關閉不需要的協定/連接埠」仍是最有效、成本最低的縮減攻擊面手法。針對舊系統 (XP/2000/9x) 仍在服役的嵌入式/工控環境，務必在防火牆層面封鎖 NetBIOS/IGMP/ICMP 異常流量。