端口 139 仍然容易受到攻击吗？

Question

由于NetBIOS漏洞早在很久以前就已为人熟知并广为流传，因此已经发布了补丁。那么，现在打开这个139端口可以吗？

Answer 1

端口不是易受攻击的，它们只是端口。侦听特定端口的服务可能存在可远程利用的漏洞，或者侦听特定端口的服务配置错误可能会导致意想不到的后果。在我的记忆中，最后一次针对 NetBIOS/139 的远程攻击发生在 Windows NT/2000 时代。

端口 139 通常用于文件/打印机共享，包括与 Active Directory 的目录复制、信任、事件日志的远程访问等。

所以......如果你只是因为你在互联网上的某个地方读到该端口是“坏的”，或者因为你正在遵循你在互联网上找到的一些通用强化清单，而只是阻止了域控制器上的端口 139；你会杀死 AD 复制。如果您在典型的商业网络中阻止 139，您将无法在远程计算机上执行任何操作（远程管理客户端/服务器、安装软件、共享打印机、文件...）在托管环境中不好，除非您喜欢在需要对计算机执行某些操作时随时派技术人员到现场。哎呀，你可以超级安全，完全禁用网卡，并使用软盘来移动位。由于可能存在跨站点脚本漏洞，您可以禁用 Apache Web 服务器上的端口 80。您可以阻止端口 1433 以减少 SQL 注入攻击的实例。（好吧，我现在就退出；）

关键是了解在您的网络上启用的服务的目的和要求，了解它们面临的威胁，并了解适当的缓解措施。

您是否想要将域控制器放在面向 Internet 的网络连接上，而不阻止/过滤对端口 139（或许多其他端口）的访问？您是否想将一台装有 Windows ME 和文件/打印共享功能的家用计算机直接插入您的电缆调制解调器，而无需在您的计算机上启用路由器过滤连接或防火墙？当然不是。

一本涵盖大部分此类信息（包括您必须做出的安全决策背后的“原因”）的好书是保护您的 Windows 网络：从外围到数据，作者是 Steve Riley 和 Jesper Johansson。

Answer 2

这可能是。问题是没有人可以说某事是否正常，只是目前没有已知的漏洞利用。有人可能发现了一个新的，但没有报告。您可能缺少服务器上的补丁。服务器可能配置不正确，打开了一个漏洞。

这不仅仅是 NetBIOS 问题，它适用于任何事物，无论是Apache、BIND、Sendmail、Exchange，还是任何连接到网络的事物。基本的经验法则是，除非必须，否则不要向外部连接打开端口。