计算机端口的安全知识大全（三）

端口是黑客最容易利用的渠道，通过扫描端口打开情况，黑客就可以利用漏洞入侵计算机，所以对于一些非必要的端口，我们要及时关闭。那么我们今天就来讲一讲如何关闭和打开端口。以关闭端口为例来介绍，打开只是关闭的反向操作。

1、关闭服务从而关闭端口

对于1024以下的端口，因为是系统占用的，一般软件也不会去占用，比如WEB使用80端口，FTP使用21端口，共享文件和打印机使用445端口等，还有一些端口，是约定俗成的服务常用的，比如远程桌面，默认占用3389端口，MSSQL默认占用1433等等。

类似这样的端口如果要关闭，只要禁用相应服务即可。我们以3389端口为例，来看看如何关闭它。我们知道，3389端口是Windows 系统远程桌面的服务端口，可以通过这个端口，用"远程桌面"等连接工具来连接到远程的服务器，如果连接上了，输入系统管理员的用户名和密码后，将变得可以像操作本机一样操作远程的电脑，是管理员远程维护服务器的利器，当然黑客用起来也很方便。一般建议关闭远程桌面服务，或者更改端口号。下面来看看如何关闭3389服务。3389端口对应的服务有前台和后台，先看来来后台服务，右键“我的电脑”—>“管理”—>左侧菜单找到“服务”，找到三个以Remote Desktop开头的三个服务，将其禁用。

Remote Desktop Configuration

Remote Desktop Services

Remote Desktop Services UserMode Port Redirector 如图：

同时，按照提示，还应该将系统属性控制面板项目的“远程”选项卡上的复选框清除，右键“我的电脑”—>“属性”—>左侧菜单找到“远程设置”

关闭服务是一个彻底杜绝黑客利用该漏洞来进行攻击的釜底抽薪方法，但也是一个因噎废食的方法，因为如果彻底关闭这些服务固然能防止黑客，但同时也会给我们的工作带来诸多不便。如果你必须要用到该服务，又担心黑客通过该端口攻击，也可以通过注册表修改该服务所占用的端口号。在注册表中（打开注册表，快捷键win+r，然后输入regedit再回车，即可打开注册表编辑器。），有两个地方需要修改：

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp] PortNumber值，默认是3389，修改成所希望的端口，如9833。

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]PortNumber值，默认是3389，同样修改成所希望的端口值，如9833。

当然，根据服务器安全的最小化原则，对于一些没有必要的服务，一定要禁用，比如，如果不是WEB服务器，就不要开户WEB服务，如果不是FTP服务器，就不要开户FTP服务，这些服务和端口都是黑客最容易利用的。

这种方法一般适用于固定端口的服务，如一些系统服务或者常见应用系统的服务，只是关闭了利用该端口的服务，并没有将端口关闭。如果将电脑比做一个大楼，里面有65536个房间，端口就是每个房间的门，这种方式是将这个房间里面的人赶走了，但门并没有关，或者还会有别的人来占用这个房间。为了防止别人来占用这个房间，还是要通过别的方法，比如通过大楼的门卫检查通行证。
 

2、利用策略阻止端口访问

以WIN10为例：右键点击开始菜单，选择运行，在输入框输入gpedit.msc，回车，打开“策略编辑器”。计算机配置—>windows设置—>安全设置，创建IP安全策略:

 

 

 

 

 

 

 

 

 

 

 

 

 

点击“确定”，完成限制端口策略。 3、利用防火墙阻止端口访问 防火墙分为网络防火墙（Network Firewall）和主机防火墙（Host Firewall）。网络防火墙一般为硬件设备，放置在网络出口处，主机防火墙一般为软件，安装在操作系统上。

我以WINDOWS操作系统自带的防火墙和第三方防火墙为例来介绍如何通过防火墙来关闭端口，还以3389为例： 利用WINDOWS系统自带的防火墙

WIN7/8中：打开控制面板—>系统和安全—>windows防火墙，启用windows防火墙，选择高级设置；

windows10中：打开windows defender安全中心，选择防火墙—>高级设置选择入站规则—>新建规则，按照向导，依次选择协议、端口、来源地址、目的地址和动作等要素，然后起个名字保存规则。

，然后自定义“名字”和“描述”，点击“确认”即可。

以上介绍了关闭指定端口的几种方法，打开端口的方法类似，只要做相反操作即可。

这几种方法中，最常用也是最方便的是利用防火墙，对企业用户建议使用第三方防火墙，不仅操作相对简单，而且可以由管理员集中管理，集中下发策略。而不用一台一台电脑去设置。

目前常用的桌面终端管理产品和企业级防病毒产品一般都带有防火墙功能。