应优先关闭135（rpc）、137/138/139（netbios）、445（smbv3）及3389（rdp）、21/23/110等明文协议端口；推荐用windows防火墙新建入站规则批量阻止，同步禁用server、computer browser、remote registry等关联服务，并关闭默认共享、禁用smbv1、限制rdp访问ip、启用登录审计。
明确哪些端口必须优先处理
以下端口在Windows服务器中属于高频攻击目标，若非业务必需，应立即禁用：
- 135（RPC）：远程过程调用，MS03-026等漏洞可致远程代码执行
- 137/138/139（NetBIOS）：暴露内网拓扑，支持暴力破解与中间人攻击
- 445（SMBv3直连）：WannaCry、永恒之蓝等勒索病毒主要传播通道
- 3389（RDP）：远程桌面服务，CVE-2019-0708等漏洞可导致未授权RCE；若必须开放，务必限制IP白名单+启用网络级身份验证（NLA）
- 21（FTP）、23（Telnet）、110（POP3）：明文传输协议，极易被嗅探和劫持
推荐用Windows防火墙批量封禁（操作快、生效稳）
这是生产环境最常用且合规的方式，无需改服务、不依赖重启，策略持久且可审计：
- 打开Windows Defender 防火墙高级安全（wf.msc）
- 右键【入站规则】→【新建规则】→ 选择【端口】→ 下一步
- 输入TCP端口：135,137,139,445,3389,21,23,110（按需增删）；UDP端口：137,138
- 操作选【阻止连接】，配置文件勾选【域】【专用】【公用】
- 命名如“Block_High_Risk_Ports”，完成即可
✅ 优势：策略写入注册表，重启不失效；支持导出/导入规则，便于批量部署。
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
同步停用关联服务（治本，防绕过）
仅封端口不够——有些服务（如Server服务）会自动监听多个端口，或被恶意程序重启。建议结合服务禁用来加固：
- 运行 services.msc，定位并停止/禁用：
- Server（提供SMB共享，关掉则139/445自动失效）
- Computer Browser（辅助NetBIOS发现，非域控可禁用）
- Remote Registry（远程修改注册表，高危且极少业务需要）
- Print Spooler（曾被PrintNightmare漏洞利用，无打印需求必禁）
⚠️ 注意：禁用前确认业务是否依赖（例如某些备份软件会调用Server服务）；禁用后可用 netstat -ano | findstr :445 验证端口是否真正不监听。
额外加固建议（提升纵深防御）
单一封端口只是基础，搭配以下措施才能形成有效防护：
- 关闭默认共享：执行 net share 查看，用命令 net share C$ /delete 逐个清除 admin$、C$、IPC$
- 禁用SMBv1协议：PowerShell中运行 Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force
- 限制RDP登录IP：在防火墙入站规则中，对3389规则设置【作用域】→【远程IP地址】→填入运维跳板机IP段
- 启用日志审计：在secpol.msc → 审核策略中开启【登录事件】和【账户登录事件】，便于溯源攻击行为
