标签 445端口 下的文章

在Windows 2008 R2 SP1 使用Windows防火墙阻止外网访问TCP 445端口

一用户收到BitNinJa.io发来的通知邮件,说扫了他们机子的445端口。觉得有些疑问,因为Windows 2008 R2 SP1的系统是昨天才安装的,一个晚上功夫,就收到端口扫描警告信了。

我想登录到测试机(一样的系统模板),无法成功远程桌面,但在ipmi里可以看到Windows正在运行。

图1:从ipmi登录到桌面,用 netstat 的命令查看,发现不少连接外网445端口的连接
win-445-scan-1.png

图2:在任务管理器里查对应PID的异常进程,mssecsvc.exe,以系统用户运行
win-445-scan-2.png

图3:查找进程所在的位置,文件的创建时间是前一天的18点左右
win-445-scan-3.png

图4:程序是注册成Windows服务自动运行,无描述内容
win-445-scan-4.png

图5:再查服务列表,又有一个异常的,Stuvwx,显示名称和描述是自动填写,无意义的
win-445-scan-5.png

图6:再查进程,又有一个异常的,GoogleCdoeUpdate ,查看文件所在位置,创建时间是当天的凌晨4点41分,还有扫描IP的列表和结果
win-445-scan-6.png

图7:在事件记录里,有当天凌晨4点41分开机的记录,Windows异常重启过
win-445-scan-7.png

图8:安装系统时,是通过无人值守安装配置文件允许远程桌面连接的,不知道为什么会自动允许“DFS管理”(包括允许SMB)
win-445-scan-12.png

图9:在Windows防火墙里取消勾选“DFS管理”后,用 netstat 查看,外网连接本地的445端口会中断
win-445-scan-9.png

图10:无奈,重装系统容易些,重装好系统,阻止外网访问TCP 445端口,且马上进行Windows更新。Windows 2008 R2 Service Pack 1,产品周期,2011-02至2020-01。7年后的今天,累积了很多的Windows补丁
win-445-scan-11.png

参考:https://support.microsoft.com/en-us/lifecycle/search?alpha=Windows%20Server%202008%20R2%20Service%20Pack%201