微型计算机139_445端口屏蔽的探讨

（１）通过“开始一＋设置＿控制面版－＋管理工具＿ 本地安全策略－＋（鼠标右击）ＩＰ安全策略”，在本地机 器点击“管理ＩＰ筛选器表和筛选器操作”选项卡，如 图１所示．
图１本地安全策略设置窗口
（２）在“管理ＩＰ筛选器表和筛选器操作”选项卡 上点击“添加”．
（３）弹出“ＩＰ筛选器列表”窗口． （４）分别添入名称和描述，如禁用１３９连接．并点 击“添加”，接着会出现一个ＩＰ‘‘筛选器向导”，单击下 一步． （５）到“指定ＩＰ源地址”窗口，在“源地址”中选择 “任何ＩＰ地址”，点击下一步．． （６）在“ＩＰ通信目标”的“目标地址”选择“我的ＩＰ 地址”，点击下一步．．
万方数据
（７）在“ＩＰ协议类型”的“选择协议类型”选择 “ＴＣＰ”，点击下一步．
（８）在“筛选器向导”的“设置ＩＰ协议端口”里第 一栏为“从任意端口”，第二栏为“到此端口”并添上 “１３９”，点击下一步．
（９）接着点击“完成”－÷然后再单击“关闭”回到 “管理ＩＰ筛选器表和筛选器操作”窗口．
（１０）选择“管理筛选器操作”选项卡点击“添 加”．
２ １３９／４４５端口的工作机理
ｓＭＢ（Ｓｅｒｖｅｒ Ｍｅｓｓａｇｅ Ｂｌｏｃｋ），Ｗｉｎｄｏｗｓ协议族，用 于文件和打印共享服务．在ＷｉｎｇＸ／ＮＴ中，通信过程是 通过ＳＭＢ基于ＮＢＴ（ＮｅｔＢＩＯＳ ｏｖｅｒ ＴＣＰ／ＩＰ）实现，ＮＢＴ 使用１３７，１３８（ＵＤＰ）和１３９（ＴＣＰ）端口来实现基于 ＴＣＰ／ＩＰ的ＮｅｔＢＩＯＳ网际互联；而在Ｗｉｎ２０００以后， ＳＭＢ除了基于ＮＢＴ的实现，还可以直接运行在ＴＣＰ／ ＩＰ上，而没有额外的ＮＢＴ层，即直接使用４４５端口．
．如果某台计算机打开了ＴＣＰｌ３９或４４５端口，无 疑方便了今后对它的文件传输和管理，使用ＮＥＴ命令 对服务器进行远程管理操作，还有像ＮＴＣＭＤ、Ｅｎｕｍ、 Ｌｅｔｍｅｉｎ、ＳＭＢＣｒａｃｋ之类的工具都是基于这些端口来 完成任务的悼ｏ．
但是要想成功利用这些端口，本地计算机作为 ｃｌｉｅｎｔ还要满足一定的要求．
上述ＮｅｔＢＩＯＳ漏洞与初次安装Ｗｉｎ２０００／ＮＴ系统 时打开默认共享的同时出现，使得１３９／４４５端口在使 用时非常容易受到攻击．这是由于ＩＰＣ￥连接分为 ＩＰＣ￥空连接和带有一定权限的ＩＰＣ￥连接，空会话是 在没有信任的情况下与服务器建立的会话（即未提供 用户名与密码），但根据Ｗｉｎ２０００的访问控制模型，空 会话的建立同样需要提供一个令牌，可是空会话在建 立过程中并没有经过用户信息的认证，所以这个令牌 中不包含用户信息．因此，这个会话不能让系统间发送 加密信息，但这并不表示空会话的令牌中不包含安全 标识符ＳＩＤ（它标识了用户和所属组）．对于一个空会 话，ＬｓＡ提供的令牌的ＳＩＤ是Ｓ一１－５－７，这就是空会话 的ＳＩＤ，用户名是ＡＮＯＮＹＭＯＵＳ ＬＯＧＯＮ（这个用户名 是可以在用户列表中看到的，但不能在ＳＡＭ数据库中 找到，属于系统内置的帐号），这个访问令牌包含下面 伪装的组：Ｅｖｅｒｙｏｎｅ和Ｎｅｔｗｏｒｋ．在安全策略的限制下，
４屏蔽１３９／４４５端口方法及可能存在的问题
４．１ 屏蔽１３９／４４５端口的方法 在Ｗｉｎ２０００以后的操作系统中，为防止网络病毒
的传播（也可能是网络攻击）通过１３９／４４５端口进行 非法操作，实现对１３９／４４５端口的安全保护，可以通过 对操作系统自身设置的完成，来屏蔽外部主机与本机 １３９／４４５端口的连接．以Ｗｉｎ２０００为例，屏蔽方法如 下．
收稿日期：２００５－０４－０８；修订日期：２００５－０６－２０
作者简介：张盎（１９７７一），男，天津人，天津中德职业技术学院助教，天津大学硕士生
万方数据·２１ຫໍສະໝຸດ ·天津城市建设学院学报 ２００５年第１１卷第３期
用的ＣＩＦＳ（通用因特网文件系统）协议．ＣＩＦＳ和ＳＭＢ 解决计算机名的方法不同：ＳＭＢ使用ＮｅｔＢＩＯＳ名的广 播和ＷＩＮＳ解决计算机名，而ＣＩＦＳ则使用ＤＮＳ．因此， 在文件服务器和打印服务器使用Ｗｉｎｄｏｗｓ公司内部网 络环境中，就无法关闭１３９和４４５端口．很多情况下， 文件共享和打印机共享在普通的业务中是不可缺少的 功能，而客户端如果自身不公开文件，就可以关闭这两 个端口．
ＩＰＣ￥（Ｉｎｔｅｍｅｔ Ｐｒｏｃｅｓｓ Ｃｏｎｎｅｃｔｉｏｎ）是共享”命名管 道”的资源，它是为了让进程间通信而开放的，通过提 供可信任的用户名和口令，连接双方可以建立安全的 通道，并以此通道进行加密数据的交换，从而实现对远 程计算机的访问．ＩＰＣ￥是ＮＴ／Ｗｉｎ２０００的一项新功 能，它有一个特点，即在同一时间内，两个ＩＰ之间只允 许建立一个连接．ＮＴ／Ｗｉｎ２０００在提供了ＩＰＣ￥功能的 同时，在初次安装系统时还打开了默认共享，即所有的 逻辑共享（ｃ￥，ｄ￥，ｅ￥，……）和系统目录ＷｉｎＮＴ或 Ｗｉｎｄｏｗｓ（ａｄｍｉｎ￥）共享．所有的这些，微软的初衷都是 为了方便管理员的管理，但在有意无意中，导致了系统 安全性的降低．ＩＰＣ￥会话对端口的选择是基于ＳＭＢ 和ＮＢＴ的，同１３９／４４５端口文件和打印机共享时所进 行的选择一样，也就是说，它可以通过１３９／４４５端口来 进行会话过程．
Ｗｉｎ２０００以前版本的Ｗｉｎｄｏｗｓ使用ＮｅｔＢＩＯＳ协议 解决各计算机名的问题，通过向册ＮＳ服务器发送通 信对象的ＮｅｔＢＩＯＳ名，取得ＩＰ地址；而Ｗｉｎｄｏｗｓ以后 的版本所采用的ｏｒｓ（Ｃｏｍｍｏｎ Ｉｎｔｅｒｎｅｔ Ｆｉｌｅ Ｓｙｓｔｅｍ）则 利用ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）解决计算机的命名问 题．根据ＤＮＳ服务器中名字列表的信息，寻找需要通 信的对象．如果顺利地得到对象的ＩＰ地址，就可以访 问共享资源．在ＳＭＢ通信中，首先使用上述的计算机 名解释功能，取得通信对象的ＩＰ地址，然后向通信对 象发出开始通信的请求．如果对方允许进行通信，就会 确立会话层（Ｓｅｓｓｉｏｎ），并使用它向对方发送用户名和 密码信息，进行认证．如果认证成功，就可以访问对方 的共享文件．在这一连串的通信中使用的就是１３９端 口．Ｗｉｒｄ０００和ＸＰ除此之外还使用４４５端口．文件共 享功能本身与１３９端口相同，但该端口使用的是与 ＳＭＢ不同的协议，这就是在Ｗｉｎ２０００和ＸＰ中最新使
张壶
（天津中德职业技术学院，天津３００１９１）
摘要：１３９／４４５端１２提供了文件和打印共享的服务，但当前网络上的很多网络攻击也是通过
１３９／４４５端口进行的，而屏蔽１３９／４４５端口可以预防网络攻击情况的出现．笔者探讨了１３９／
４４５端口屏蔽的技术及方法．
关键词：１３９／４４５端口；ＳＭＢ；ＮＢＴ；屏蔽；网络攻击；安全防范
（１１）同样会出现一个“筛选器操作向导”的窗口， 点击“下一步”，在“名称”里添上“禁用１３９连接”．
（１２）按“下一步”，并选择“阻止”，再按“下一 步”．点击“完成”和“关闭”．
这是一种最基本的禁止１３９／４４５端口的连接以防 止网络病毒的传播或网络攻击的方法，此屏蔽方法简 易可行，便于掌握，效果突出．此外，还可以通过对注册 表直接修改、对防火墙进行设置等方法多层次地实现 这一目的．仍以Ｗｉｎ２０００中１３９／４４５端口屏蔽为例．
应该说，１３９／４４５端口的连接要求是比较容易达 成的，特别是在Ｗｉｎ２０００以后的操作系统中，这使人 们实现文件和打印共享服务更加便利，但对于破坏者 而言，这也成为一条非常容易入侵的通道．特别是近 期，一些网络病毒就是通过这一途径传播的，如：Ｒａｎ—
ｄｏｎ．
３共享入侵与口Ｃ￥
１３９／４４５端口功能决定了对这两个端口的入侵是 万方数据
（２）如果对方只有４４５端口，本机要是Ｗｉｎ２０００ 以后的系统就可以直接连接，但如果本机是Ｗｉｎ９Ｘ／ ＷｉｎＮＴ，由于Ｗｉｎ９Ｘ／ＷｉｎＮＴ所实现的ＳＭＢ只能基于 ＮＢＴ，因而此时本机只能尝试１３９端口，但不能和４４５ 端口建立连接，这时本机就无法使用基于ＳＭＢ的工具 实现连接．
（３）若１３９／４４５这两个端口，均处于打开状态，此 时最容易实现连接，只要满足上述任何一个连接要求 就可以实现连接．
中图分类号：ＴＦ３９３．０８
文献标识码：Ａ
文章编号：１００６－－６８５３（２００５）０３－０２１３－０４
网络安全是目前十分引人注目的问题，网络攻击 与安全防范的碰撞遍布网络的每个角落．一般网络上 的攻击大多数通过１３９／４４５端口进行，因此屏蔽１３９／ ４４５端口可以预防受到网络攻击．事实上，文件和打印 共享服务的通信过程就是通过ＴＣＰ的１３９／４４５端口 来实现的，而扫描器也是通过ＴＣＰ的１３９／４４５端口来 获取计算机相关信息的，如：计算机的名称、管理员的 帐号等．获取以上相关信息便可以通过相应的攻击工 具进行入侵了，以致可能造成计算机网络瘫痪．屏蔽 １３９／４４５端口可预防网络攻击情况的出现，当然这种 屏蔽由于只对共享资源产生作用，而对于当前计算机 的文件与打印机的使用没有任何影响．为此，提出屏蔽 １３９／４４５端口的问题和方法，在不需文件和打印共享 服务的通信过程的前提下，防止病毒或攻击的入侵．
天津城市建设学院学报 张矗：微型计算机１３９／４４５端口屏蔽的探讨
·２１５·
这个空会话将被授权访问到上面两个组有权访问到的 一切信息．对于ＷｉｎＮＴ，在默认安全设置下，借助空连 接可以列举目标主机上的用户和共享，访问ｅｖｅｒｙｏｎｅ 权限的共享，访问小部分注册表等，并没有什么太大的 利用价值；对Ｗｉｎ２０００的作用更小，因为在Ｗｉｎ２０００／ ＸＰ和以后的版本中，默认只有管理员和备份操作员有 权从网络访问到注册表，而且实现起来也不方便，需借 助工具．从上述内容可以看到，这种非信任会话并没有 多大的用处，但从一次完整的ＩＰＣ￥入侵来看，空会话 是一个不可缺少的跳板，因为从它那里可以得到户列 表，这对于一个入侵者来说已经足够了．
以共享入侵为主．Ｗｉｎｄｏｗｓ系统提供的文件和打印共 享服务可以设置口令保护，以避免非法用户的访问．然 而，微软ＮｅｔＢＩＯＳ协议的口令校验机制存在一个严重 漏洞，使得这种保护形同虚设．服务端在对客户端的口 令进行校验时，是以客户端发送的长度数据为依据的． 因此，客户端在发送口令认证数据包时，可以设置长度 域为１，同时发送一个字节的明文口令给服务端，服务 端就会将客户端发来的口令与服务端保存的共享口令 的第一个字节进行明文比较，如果匹配就认为通过了 验证．由此，攻击者仅仅需要猜测共享口令的第一个字 节即可．Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ的远程管理也是采用的共 享密码认证方式，所以也受此漏洞的影响．利用这种漏 洞进行入侵的一种基本形式就是ＩＰＣ￥Ｌ３］．