关于端口的问题

Posted 2023-04-09

1、对于个人电脑，一般都开启哪些端口就可以了？
2、TCP/IP筛选功能的运用，可以直接彻底关闭例如135等端口吗，还是需要更加详细复杂的方法（修改服务等）？
3、这个问题我很不明白：我在天网防火墙上，直接删除135端口，会出现类似冲击波的关机窗口！我是中了冲击波吗？但我用专杀工具杀不到它，说是没有！

Win98系统： c:\Windows c:\Windows\system
Winnt和Win2000系统：c:\Winnt c:\Winnt\system32
Winxp系统： c:\Windows c:\Windows\system32
根据系统安装的路径不同，目录所在盘符也可能不同，如系统安装在D盘，
请将C:\Windows改为D:\Windows依此类推
=============================================
113端口木马的清除（仅适用于Windows系统）：
这是一个基于irc聊天室控制的木马程序。
1.首先使用netstat -an命令确定自己的系统上是否开放了113端口
2.使用fport命令察看出是哪个程序在监听113端口
例如我们用fport看到如下结果：
Pid Process Port Proto Path
392 svchost -> 113 TCP C:\WinNT\system32\vhos.exe
我们就可以确定在监听在113端口的木马程序是vhos.exe而该程序所在的路径为c:\Winnt\system32下。
3.确定了木马程序名（就是监听113端口的程序）后，在任务管理器中查找到该进程，并使用管理器结束
该进程。
4.在开始-运行中键入regedit运行注册表管理程序，在注册表里查找刚才找到那个程序，并将相关的键值
全部删掉。
5.到木马程序所在的目录下删除该木马程序。（通常木马还会包括其他一些程序，如rscan.exe、psexec.exe、
ipcpass.dic、ipcscan.txt等，根据木马程序不同，文件也有所不同，你可以通过察看程序的生成和修改的
时间来确定与监听113端口的木马程序有关的其他程序）
6.重新启动机器。
以下列出的端口仅为相关木马程序默认情况下开放的端口，请根据具体情况采取相应的操作：
445端口的关闭
修改注册表，添加一个键值
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NetBT\Parameters在右面的窗口建立一
个SMBDeviceEnabled 为REG_DWORD类型键值为 0这样就ok了
707端口的关闭：
这个端口开放表示你可能感染了nachi蠕虫病毒，该蠕虫的清除方法如下：
1、停止服务名为WinS Client和Network Connections Sharing的两项服务
2、删除c:\Winnt\SYSTEM32\WinS\目录下的DLLHOST.EXE和SVCHOST.EXE文件
3、编辑注册表，删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services项中名为RpcTftpd和
RpcPatch的两个键值
1999端口的关闭：
这个端口是木马程序BackDoor的默认服务端口，该木马清除方法如下：
1、 使用进程管理工具将notpa.exe进程结束
2、 删除c:\Windows\目录下的notpa.exe程序
3、 编辑注册表，删 除
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项中包
含c:\Windows\notpa.exe /o=yes的键值
2001端口的关闭：
这个端口是木马程序黑洞2001的默认服务端口，该木马清除方法如下：
1、首先使用进程管理软件将进程Windows.exe杀掉
2、删除c:\Winnt\system32目录下的Windows.exe和S_Server.exe文件
3、编辑注册表，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\项
中名为Windows的键值
4、将HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINE\Software\CLASSES项中的Winvxd项删除
5、修改HKEY_CLASSES_ROOT\txtfile\shell\open\command项中的c:\Winnt\system32\S_SERVER.EXE %1为
C:\WinNT\NOTEPAD.EXE %1
6、修改HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command项中
的c:\Winnt\system32\S_SERVER.EXE %1键值改为C:\WinNT\NOTEPAD.EXE %1
2023端口的关闭：
这个端口是木马程序Ripper的默认服务端口，该木马清除方法如下：
1、使用进程管理工具结束sysrunt.exe进程
2、删除c:\Windows目录下的sysrunt.exe程序文件
3、编辑system.ini文件，将shell=explorer.exe sysrunt.exe 改为shell=explorer.exe后保存
4、重新启动系统
2583端口的关闭：
这个端口是木马程序Wincrash v2的默认服务端口，该木马清除方法如下： 1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\项中
的WinManager = "c:\Windows\server.exe"键值
2、编辑Win.ini文件，将run=c:\Windows\server.exe改为run=后保存退出
3、重新启动系统后删除C:\Windows\system\ SERVER.EXE
3389端口的关闭：
首先说明3389端口是Windows的远程管理终端所开的端口，它并不是一个木马程序，请先确定该服务是
否是你自己开放的。如果不是必须的，请关闭该服务。
Win2000关闭的方法：
1、Win2000server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，选中属性选项
将启动类型改成手动，并停止该服务。
2、Win2000pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services服务项，选中
属性选项将启动类型改成手动，并停止该服务。
Winxp关闭的方法：
在我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
4444端口的关闭：
如果发现你的机器开放这个端口，可能表示你感染了msblast蠕虫，清除该蠕虫的方法如下：
1、使用进程管理工具结束msblast.exe的进程
2、编辑注册表，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中
的"Windows auto update"="msblast.exe"键值
3、删除c:\Winnt\system32目录下的msblast.exe文件
4899端口的关闭：
首先说明4899端口是一个远程控制软件（remote administrator)服务端监听的端口，他不能算是一个
木马程序，但是具有远程控制功能，通常杀毒软件是无法查出它来的，请先确定该服务是否是你自己开放
并且是必需的。如果不是请关闭它。
关闭4899端口：
1、请在开始-->运行中输入cmd(98以下为command),然后 cd C:\Winnt\system32(你的系统安装目录），
输入r_server.exe /stop后按回车,然后在输入r_server /uninstall /silence
2、到C:\Winnt\system32(系统目录)下删除r_server.exe admdll.dll raddrv.dll三个文件
5800，5900端口：
首先说明5800，5900端口是远程控制软件VNC的默认服务端口，但是VNC在修改过后会被用在某些蠕虫中。
请先确认VNC是否是你自己开放并且是必须的，如果不是请关闭
关闭的方法：
1、首先使用fport命令确定出监听在5800和5900端口的程序所在位置
（通常会是c:\Winnt\fonts\explorer.exe）
2、在任务管理器中杀掉相关的进程（注意有一个是系统本身正常的，请注意！如果错杀可以重新运
行c:\Winnt\explorer.exe）
3、删除C:\Winnt\fonts\中的explorer.exe程序。
4、删除注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中的Explorer键值。
5、重新启动机器。
6129端口的关闭：
首先说明6129端口是一个远程控制软件（dameware nt utilities）服务端监听得端口，他不是一个木马程序，
但是具有远程控制功能，通常的杀毒软件是无法查出它来的。请先确定该服务是否是你自己安装并且是必需的，
如果不是请关闭。
关闭6129端口：
1、选择开始-->设置-->控制面板-->管理工具-->服务
找到DameWare Mini Remote Control项点击右键选择属性选项，将启动类型改成禁用后停止该服务。
2、到c:\Winnt\system32(系统目录)下将DWRCS.EXE程序删除。
3、到注册表内将HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\项中的DWRCS键值删除
6267端口的关闭：
6267端口是木马程序广外女生的默认服务端口，该木马删除方法如下：
1、启动到安全模式下，删除c:\Winnt\system32\下的DIAGFG.EXE文件
2、到c:\Winnt目录下找到regedit.exe文件，将该文件的后缀名改为.com
3、选择开始-->运行输入regedit.com进入注册表编辑页面
4、修改HKEY_CLASSES_ROOT\exefile\shell\open\command项的键值为"%1" %*
5、删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\RunServices项中名字
为Diagnostic Configuration的键值
6、将c:\Winnt下的regedit.com改回到regedit.exe
6670、6771端口的关闭：
这些端口是木马程序DeepThroat v1.0 - 3.1默认的服务端口，清除该木马的方法如下： 1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run项中
的‘System32‘=c:\Windows\system32.exe键值（版本1.0）或‘SystemTray‘ = ‘Systray.exe‘
键值（版本2.0-3.0)键值
2、重新启动机器后删除c:\Windows\system32.exe（版本1.0）或c:\Windows\system\systray.exe
（版本2.0-3.0）
6939 端口的关闭：
这个端口是木马程序Indoctrination默认的服务端口，清除该木马的方法如下： 1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce\
四项中所有包含Msgsrv16 ="msgserv16.exe"的键值
2、重新启动机器后删除C:\Windows\system\目录下的msgserv16.exe文件
6969端口的关闭：
这个端口是木马程序PRIORITY的默认服务端口，清除该木马的方法如下： 1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Services
项中的"PServer"= C:\Windows\System\PServer.exe键值
2、重新启动系统后删除C:\Windows\System\目录下的PServer.exe文件
7306端口的关闭：
这个端口是木马程序网络精灵的默认服务端口，该木马删除方法如下：
1、你可以使用fport察看7306端口由哪个程序监听，记下程序名称和所在的路径
2、如果程序名为Netspy.exe，你可以在命令行方式下到该程序所在目录输入命令Netspy.exe /remove来
删除木马
3、如果是其他名字的程序，请先在进程中结束该程序的进程，然后到相应目录下删除该程序
4、编辑注册表，将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Run项
和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\RunServices项中与该程序有关 的键值删除
7511端口的关闭：
7511是木马程序聪明基因的默认连接端口，该木马删除方法如下：
1、首先使用进程管理工具杀掉MBBManager.exe这个进程
2、删除c:\Winnt（系统安装目录）中的MBBManager.exe和Explore32.exe程序文件，删除c:\Winnt\system32
目录下的editor.exe文件 3、编辑注册表，删除注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项中
内容为C:\WinNT\MBBManager.exe键名为MainBroad BackManager的项
4、修改注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command中的c:\Winnt\system32\editor.exe %1改
为c:\Winnt\NOTEPAD.EXE %1
5、修改注册表HKEY_LOCAL_MACHINE\Software\CLASSES\hlpfile\shell\open\command项中的
C:\WinNT\explore32.exe %1键值改为C:\WinNT\WinHLP32.EXE %1
7626端口的关闭：
7626是木马冰河的默认开放端口（这个端口可以改变），木马删除方法如下：
1、启动机器到安全模式下，编辑注册表
删除HKEY_LOCAL_MACHINE\software\microsoft\Windows\ CurrentVersion\Run项中内容为
c:\Winnt\system32\Kernel32.exe的键值
2、删除HKEY_LOCAL_MACHINE\software\microsoft\Windows\ CurrentVersion\Runservices项中内容为
C:\Windows\system32\Kernel32.exe的键值
3、修改HKEY_CLASSES_ROOT\txtfile\shell\open\command项下的C:\Winnt\system32\Sysexplr.exe %1为
C:\Winnt\notepad.exe %1
4、到C:\Windows\system32\下删除文件Kernel32.exe和Sysexplr.exe
8011端口的关闭：
8011端口是木马程序WAY2.4的默认服务端口，该木马删除方法如下：
1、首先使用进程管理工具杀掉msgsvc.exe的进程
2、到C:\Windows\system目录下删除msgsvc.exe文件
3、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项中内
容为C:\WinDOWS\SYSTEM\msgsvc.exe的键值
9989端口的关闭：
这个端口是木马程序InIkiller的默认服务端口，该木马删除方法如下：
1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\项中
的Explore="C:\Windows\bad.exe"键值
2、重新启动系统后删除C:\Windows目录下的bad.exe程序文件
19191端口的关闭：
这个端口是木马程序兰色火焰默认开放的telnet端口，该木马关闭方法如下：
1、使用管理工具结束进程tasksvc.exe
2、删除c:\Windows\system目录下的tasksvc.exe、sysexpl.exe、bfhook.dll三个文件
3、编辑注册表，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run项中的
Network Services=C:\WinDOWS\SYSTEM\tasksvc.exe键值
4、将注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command项中的C:\WinDOWS\SYSTEM\sysexpl.exe "%1"键
值改为c:\Windows\notepad.exe "%1"键值
5、将注册表HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command项中的
C:\WinDOWS\SYSTEM\sysexpl.exe "%1键值"改为c:\Windows\notepad.exe "%1"
1029端口和20168端口：
这两个端口是lovgate蠕虫所开放的后门端口。
蠕虫相关信息请参见：Lovgate蠕虫
你可以下载专杀工具：FixLGate.exe
使用方法：下载后直接运行，在该程序运行结束后重起机器后再运行一遍该程序。
23444端口的关闭方法：
这个端口是木马程序网络公牛的默认服务端口，关闭该木马的方法如下：
1、进入安全模式，删除c:\Winnt\system32\下的CheckDll.exe文件
2、将系统中的如下文件的大小与正常系统中的文件大小比较，如果大小不一样请删除，然后将正常的文件
拷贝回来，需要检查的文件包括：notepad.exe；write.exe，regedit.exe，Winmine.exe，Winhelp.exe
3、替换回正常文件后进入注册表编辑状态
删除HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项
中的"CheckDll.exe"="C:\WinNT\SYSTEM32\CheckDll.exe“键值
4、删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\RunServices中
的"CheckDll.exe"="C:\WinNT\SYSTEM32\CheckDll.exe"键值
5、删除HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run中
的"CheckDll.exe"="C:\WinNT\SYSTEM32\CheckDll.exe"键值请注意该病毒还可能会捆绑在其他
应用软件上，请检查你的软件大小是否有异，如果有请卸载后重装.
27374端口的关闭方法：
这个端口是木马程序SUB7的默认服务端口，关闭该木马方法如下：
1、首先使用fport软件确定出27374端口由哪个程序打开，记下程序名称和所在的路径。
2、编辑注册表，将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run项中包含
刚才使用fport察看出的文件名的键值删除
3、将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServic项中包含刚才使
用fport察看出的文件名的键值删除
4、在进程中将刚才察看的文件进程杀掉，如果杀不掉请到服务中将关联该程序的服务关掉（服务名应该
是刚才在注册表RunServic中看到的）
5、编辑Win.ini文件，检查“run=”后有没有刚才的文件名，如有则删除之
6、编辑system.ini文件，检查“shell=explorer.exe”后有没有刚才那个文件，如有将它删除
7、到相应的目录中将刚才查到的文件删除。
30100端口的关闭：
这个端口是木马程序NetSphere默认的服务端口，清除该木马方法如下：
1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\项
中的NSSX ="C:\WinDOWS\system\nssx.exe"键值
2、删除HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中
的NSSX ="C:\WinDOWS\system\nssx.exe"键值
3、删除HKEY_USERS\****\Software\Microsoft\Windows\CurrentVersion\Run 中
的NSSX ="C:\WinDOWS\system\nssx.exe"键值
4、重新启动系统后删除删除C:\WinDOWS\system\目录下的nssx.exe文件
31337端口的关闭：
这个端口是木马程序BO2000的默认服务端口，清除该木马方法如下：
1、将机器启动到安全模式状态
2、编辑注册表，删除\HEKY-LOCAL-MACHINE\Software\Microsoft\Windows\ CurrentVersion\RunServicse项
中包含Umgr32.exe的键值
3、删除\Windows\System目录下的Umgr32.exe程序
4、重新启动机器
45576端口： 这是一个代理软件的控制端口，请先确定该代理软件并非你自己安装（代理软件会给你的机器带来额外的流量）
关闭代理软件：
1.请先使用fport察看出该代理软件所在的位置
2.在服务中关闭该服务（通常为SkSocks），将该服务关掉。
3.到该程序所在目录下将该程序删除。
50766端口的关闭：
这个端口是木马程序SchWindler的默认服务端口，清除该木马的方法如下： 1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\项
中的User.exe = "C:\WinDOWS\User.exe"键值
2、重新启动机器后删除c:\Windows\目录下的user.exe文件
61466端口的关闭：
这个端口是木马程序Telecommando的默认服务端口，关闭该木马程序方法如下： 1、编辑注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\中
的SystemApp＝"ODBC.EXE"键值
2、重新启动机器后删除C:\Windows\system\目录下的ODBC.EXE文件
==================================================
关闭7.9等等端口：关闭Simple TCP/IP Service，支持以下 TCP/IP 服务：Character Generator，
Daytime， Discard， Echo， 以及 Quote of the Day。
关掉21端口：关闭FTP Publishing Service，它提供的服务是通过 Internet 信息服务的管理单元
提供 FTP 连接和管理。
关掉23端口：关闭Telnet服务，它允许远程用户登录到系统并且使用命令行运行控制台程序。
关掉25端口：关闭Simple Mail Transport Protocol (SMTP)服务，它提供的功能是跨网传送电子邮件。
关闭80口：关掉WWW服务。在“服务”中显示名称为"World Wide Web Publishing Service"，通过
Internet 信息服务的管理单元提供 Web 连接和管理。
关闭默认共享：在Windows 2000中，有一个“默认共享”，这是在安装服务器的时候，把系统安装分区
自动进行共享，虽然对其访问还需要超级用户的密码，但这是潜在的安全隐患，从服务器
的安全考虑，最好关闭这个“默认共享”，以保证系统安全。方法是：单击“开始/运行”，
在运行窗口中输入“Regedit”，打开注册表编辑器，展开
“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Lanmanworkstation\parameters”，
在右侧窗口中创建一个为“AutoShareWks”的双字节值，将其值设置为0，(Win2000 专业
版 Win XP);
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver
\parameters]"AutoShareServer"=dword:00000000 (win2000 server、win2003 server)
这样就可以彻底关闭“默认共享”。
(对了记住在DOS下运行net share c$Content$nbsp;/del，有几个默认共享就执行几次
关闭139端口：139端口是NetBios Session端口，用来文件和打印共享，注意的是运行samba的unix机器
也开放了139端口，功能一样。关闭139口听方法是在“网络和拨号连接”中“本地连接”
中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WINS设置”里面有
一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。
关闭445端口：修改注册表，添加一个键值
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT
\Parameters]"SMBDeviceEnabled"=dword:00000000
关闭终端服务：在Windows2000 Sever版中打开“我的电脑”→“控制面板”→“ 添加/删除程序”→
“添加删除Windwos组件”，把其中的“终端连接器”反安装即可！
修改终端服务的默认端口：
服务器端： 打开注册表，在
“HKLM\SYSTEM\Current\ControlSet\Control\Terminal Server\Win Stations”里找到
类似RDP-TCP的子键，修改PortNumber值。
客户端：按正常步骤建一个客户端连接，选中这个连接，在“文件”菜单中选择导出，在指定位置会生
成一个后缀为.cns的文件。打开该文件，修改“Server Port”值为与服务器端的PortNumber对
应的值。然后再导入该文件（方法：菜单→文件→导入），这样客户端就修改了端口。
禁止IPC$空连接:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]"restrictanonymous"=dword:00000001
记住把服务server禁止喽~~~ipc$默认共享删除~~~~这样重启后才有效喽~~~
关闭server服务，此服务提供RPC支持、文件、打印以及命名管道共享。关掉它就关掉了win2k的默认共享，
比如ipc$、c$、admin$等等，此服务关闭不影响您的其他操作。
=============================================
禁用服务
打开控制面板，进入管理工具——服务，关闭以下服务
1.Alerter[通知选定的用户和计算机管理警报]
2.ClipBook[启用“剪贴簿查看器”储存信息并与远程计算机共享]
3.Distributed File System[将分散的文件共享合并成一个逻辑名称，共享出去，关闭后远程计算机无法
访问共享
4.Distributed Link Tracking Server[适用局域网分布式链接? �倏突Ф朔�馷
5.Human Interface Device Access[启用对人体学接口设备(HID)的通用输入访问]
6.IMAPI CD-Burning COM Service[管理 CD 录制]
7.Indexing Service[提供本地或远程计算机上文件的索引内容和属性，泄露信息]
8.Kerberos Key Distribution Center[授权协议登录网络]
9.License Logging[监视IIS和SQL如果你没安装IIS和SQL的话就停止]
10.Messenger[警报]
11.NetMeeting Remote Desktop Sharing[netmeeting公司留下的客户信息收集]
12.Network DDE[为在同一台计算机或不同计算机上运行的程序提供动态数据交换]
13.Network DDE DSDM[管理动态数据交换 (DDE) 网络共享]
14.Print Spooler[打印机服务，没有打印机就禁止吧]
15.Remote Desktop Help& nbsp;Session Manager[管理并控制远程协助]
16.Remote Registry[使远程计算机用户修改本地注册表]
17.Routing and Remote Access[在局域网和广域往提供路由服务.黑客理由路由服务刺探注册信息]
18.Server[支持此计算机通过网络的文件、打印、和命名管道共享]
19.Special Administration Console Helper[允许管理员使用紧急管理服务远程访问命令行提示符]
20.TCP/IPNetBIOS Helper[提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支
持而使用户能够共享文件、打印和登录到网络]
21.Telnet[允许远程用户登录到此计算机并运行程序]
22.Terminal Services[允许用户以交互方式连接到远程计算机]
23.Window s Image Acquisition (WIA)[照相服务，应用与数码摄象机]
如果发现机器开启了一些很奇怪的服务，如r_server这样的服务，必须马上停止该服务，因为这完全有
可能是黑客使用控制程序的服务端。
====================================================
1.察看本地共享资源
运行CMD输入net share，如果看到有异常的共享，那么应该关闭。但是有时你关闭共享下次开机的时候
又出现了，那么你应该考虑一下，你的机器是否已经被黑客所控制了，或者中了病毒。
2.删除共享(每次输入一个)
net share admin$ /delete
net share c$ /delete
net share d$ /delete（如果有e，f，……可以继续删除）
3.删除ipc$空连接在运行内输入regedit，在注册表中找到 HKEY-LOCAL_MACHINESYSTEMCurrentControSetControlLSA 项
里数值名称RestrictAnonymous的数值数据由0改为1。
我也是网上找来的，挺管用的，我试过几个端口 参考技术A 一般把所有的并串口都关掉就可以了。只留USB

TCP 135=微软DCE RPC end-point mapper服务
关闭135就相当于结束了Remote Procedure Call 服务，当然跟冲击波一样就1分钟自动重启了。 参考技术B 可以在TCP/IP属性＞高级＞选项＞属性＞启用TCP/IP筛选中手动禁用
也可以在本地安全策略中禁用某一端口

关于端口的问题！

这里说的端口是指软件的端口，比如8080。我想问在哪可以设置这些端口，或在操作系统中哪些界面或某个地方跟端口有关系的，它们的作用是什么？

端口概念
在网络技术中，端口（Port）大致有两种意思：一是物理意义上的端口，比如，ADSL Modem、集线器、交换机、路由器用于连接其他网络设备的接口，如RJ-45端口、SC端口等等。二是逻辑意义上的端口，一般是指TCP/IP协议中的端口，端口号的范围从0到65535，比如用于浏览网页服务的80端口，用于FTP服务的21端口等等。我们这里将要介绍的就是逻辑意义上的端口。

查看端口
在Windows 2000/XP/Server 2003中要查看端口，可以使用Netstat命令：
依次点击“开始→运行”，键入“cmd”并回车，打开命令提示符窗口。在命令提示符状态下键入“netstat -a -n”，按下回车键后就可以看到以数字形式显示的TCP和UDP连接的端口号及状态。

关闭/开启端口
在介绍各种端口的作用前，这里启的，比如Telnet服务的23端口、FTP服务先介绍一下在Windows中如何关闭/打开端口，因为默认的情况下，有很多不安全的或没有什么用的端口是开的21端口、SMTP服务的25端口、RPC服务的135端口等等。为了保证系统的安全性，我们可以通过下面的方法来关闭/开启端口。

关闭端口
比如在Windows 2000/XP中关闭SMTP服务的25端口，可以这样做：首先打开“控制面板”，双击“管理工具”，再双击“服务”。接着在打开的服务窗口中找到并双击“Simple Mail Transfer Protocol （SMTP）”服务，单击“停止”按钮来停止该服务，然后在“启动类型”中选择“已禁用”，最后单击“确定”按钮即可。这样，关闭了SMTP服务就相当于关闭了对应的端口。

开启端口
如果要开启该端口只要先在“启动类型”选择“自动”，单击“确定”按钮，再打开该服务，在“服务状态”中单击“启动”按钮即可启用该端口，最后，单击“确定”按钮即可。
提示：在Windows 98中没有“服务”选项，你可以使用防火墙的规则设置功能来关闭/开启端口。
端口分类

逻辑意义上的端口有多种分类标准，下面将介绍两种常见的分类：

1. 按端口号分布划分

（1）知名端口（Well-Known Ports）
知名端口即众所周知的端口号，范围从0到1023，这些端口号一般固定分配给一些服务。比如21端口分配端口分配给SMTP（给FTP服务，25简单邮件传输协议）服务，80端口分配给HTTP服务，135端口分配给RPC（远程过程调用）服务等等。

（2）动态端口（Dynamic Ports）
动态端口的范围从1024到65535，这些端口号一般不固定分配给某个服务，也就是说许多服务都可以使用这些端口。只要运行的程序向系统提出访问网络的申请，那么系统就可以从这些端口号中分配一个供该程序使用。比如1024端口就是分配给第一个向系统发出申请的程序。在关闭程序进程后，就会释放所占用的端口号。
不过，动态端口也常常被病毒木马程序所利用，如冰河默认连接端口是7626、WAY 2.4是8011、Netspy 3.0是7306、YAI病毒是1024等等。

2. 按协议类型划分
按协议类型划分，可以分为TCP、UDP、IP和ICMP（Internet控制消息协议）等端口。下面主要介绍TCP和UDP端口：

（1）TCP端口
TCP端口，即传输控制协议端口，需要在客户端和服务器之间建立连接，这样可以提供可靠的数据传输。常见的包括FTP服务的21端口，Telnet服务的23端口，SMTP服务的25端口，以及HTTP服务的80端口等等。

（2）UDP端口
UDP端口，即用户数据包协议端口，无需在客户端和服务器之间建立连接，安全性得不到保障。常见的有DNS服务的53端口，SNMP（简单网络管理协议）服务的161端口，QQ使用的8000和4000端口等等。
常见网络端口

网络基础知识!端口对照

端口：0
服务：Reserved
说明：通常用于分析操作系统。这一方法能够工作是因为在一些系统中“0”是无效端口，当你试图使用通常的闭合端口连接它时将产生不同的结果。一种典型的扫描，使用IP地址为0.0.0.0，设置ACK位并在以太网层广播。

端口：1
服务：tcpmux
说明：这显示有人在寻找SGI Irix机器。Irix是实现tcpmux的主要提供者，默认情况下tcpmux在这种系统中被打开。Irix机器在发布是含有几个默认的无密码的帐户，如：IP、GUEST UUCP、NUUCP、DEMOS 、TUTOR、DIAG、OUTOFBOX等。许多管理员在安装后忘记删除这些帐户。因此HACKER在INTERNET上搜索tcpmux并利用这些帐户。

端口：7
服务：Echo
说明：能看到许多人搜索Fraggle放大器时，发送到X.X.X.0和X.X.X.255的信息。

端口：19
服务：Character Generator
说明：这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时会发送含有垃圾字符的数据流直到连接关闭。HACKER利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。同样Fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。

端口：21
服务：FTP
说明：FTP服务器所开放的端口，用于上传、下载。最常见的攻击者用于寻找打开anonymous的FTP服务器的方法。这些服务器带有可读写的目录。木马Doly Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所开放的端口。

端口：22
服务：Ssh
说明：PcAnywhere建立的TCP和这一端口的连接可能是为了寻找ssh。这一服务有许多弱点，如果配置成特定的模式，许多使用RSAREF库的版本就会有不少的漏洞存在。

端口：23
服务：Telnet
说明：远程登录，入侵者在搜索远程登录UNIX的服务。大多数情况下扫描这一端口是为了找到机器运行的操作系统。还有使用其他技术，入侵者也会找到密码。木马Tiny Telnet Server就开放这个端口。

端口：25
服务：SMTP
说明：SMTP服务器所开放的端口，用于发送邮件。入侵者寻找SMTP服务器是为了传递他们的SPAM。入侵者的帐户被关闭，他们需要连接到高带宽的E-MAIL服务器上，将简单的信息传递到不同的地址。木马Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都开放这个端口。

端口：31
服务：MSG Authentication
说明：木马Master Paradise、Hackers Paradise开放此端口。

端口：42
服务：WINS Replication
说明：WINS复制

端口：53
服务：Domain Name Server（DNS）
说明：DNS服务器所开放的端口，入侵者可能是试图进行区域传递（TCP），欺骗DNS（UDP）或隐藏其他的通信。因此防火墙常常过滤或记录此端口。

端口：67
服务：Bootstrap Protocol Server
说明：通过DSL和Cable modem的防火墙常会看见大量发送到广播地址255.255.255.255的数据。这些机器在向DHCP服务器请求一个地址。HACKER常进入它们，分配一个地址把自己作为局部路由器而发起大量中间人（man-in-middle）攻击。客户端向68端口广播请求配置，服务器向67端口广播回应请求。这种回应使用广播是因为客户端还不知道可以发送的IP地址。

端口：69
服务：Trival File Transfer
说明：许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。但是它们常常由于错误配置而使入侵者能从系统中窃取任何 文件。它们也可用于系统写入文件。

端口：79
服务：Finger Server
说明：入侵者用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其他机器Finger扫描。

端口：80
服务：HTTP
说明：用于网页浏览。木马Executor开放此端口。

端口：99
服务：Metagram Relay
说明：后门程序ncx99开放此端口。

端口：102
服务：Message transfer agent(MTA)-X.400 over TCP/IP
说明：消息传输代理。

端口：109
服务：Post Office Protocol -Version3
说明：POP3服务器开放此端口，用于接收邮件，客户端访问服务器端的邮件服务。POP3服务有许多公认的弱点。关于用户名和密码交 换缓冲区溢出的弱点至少有20个，这意味着入侵者可以在真正登陆前进入系统。成功登陆后还有其他缓冲区溢出错误。

端口：110
服务：SUN公司的RPC服务所有端口
说明：常见RPC服务有rpc.mountd、NFS、rpc.statd、rpc.csmd、rpc.ttybd、amd等

端口：113
服务：Authentication Service
说明：这是一个许多计算机上运行的协议，用于鉴别TCP连接的用户。使用标准的这种服务可以获得许多计算机的信息。但是它可作为许多服务的记录器，尤其是FTP、POP、IMAP、SMTP和IRC等服务。通常如果有许多客户通过防火墙访问这些服务，将会看到许多这个端口的连接请求。记住，如果阻断这个端口客户端会感觉到在防火墙另一边与E-MAIL服务器的缓慢连接。许多防火墙支持TCP连接的阻断过程中发回RST。这将会停止缓慢的连接。

端口：119
服务：Network News Transfer Protocol
说明：NEWS新闻组传输协议，承载USENET通信。这个端口的连接通常是人们在寻找USENET服务器。多数ISP限制，只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送SPAM。

端口：135
服务：Location Service
说明：Microsoft在这个端口运行DCE RPC end-point mapper为它的DCOM服务。这与UNIX 111端口的功能很相似。使用DCOM和RPC的服务利用计算机上的end-point mapper注册它们的位置。远端客户连接到计算机时，它们查找end-point mapper找到服务的位置。HACKER扫描计算机的这个端口是为了找到这个计算机上运行Exchange Server吗？什么版本？还有些DOS攻击直接针对这个端口。

端口：137、138、139
服务：NETBIOS Name Service
说明：其中137、138是UDP端口，当通过网上邻居传输文件时用这个端口。而139端口：通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于windows文件和打印机共享和SAMBA。还有WINS Regisrtation也用它。

端口：143
服务：Interim Mail Access Protocol v2
说明：和POP3的安全问题一样，许多IMAP服务器存在有缓冲区溢出漏洞。记住：一种LINUX蠕虫（admv0rm）会通过这个端口繁殖，因此许多这个端口的扫描来自不知情的已经被感染的用户。当REDHAT在他们的LINUX发布版本中默认允许IMAP后，这些漏洞变的很流行。这一端口还被用于IMAP2，但并不流行。

端口：161
服务：SNMP
说明：SNMP允许远程管理设备。所有配置和运行信息的储存在数据库中，通过SNMP可获得这些信息。许多管理员的错误配置将被暴露在Internet。Cackers将试图使用默认的密码public、private访问系统。他们可能会试验所有可能的组合。SNMP包可能会被错误的指向用户的网络。

端口：177
服务：X Display Manager Control Protocol
说明：许多入侵者通过它访问X-windows操作台，它同时需要打开6000端口。

端口：389
服务：LDAP、ILS
说明：轻型目录访问协议和NetMeeting Internet Locator Server共用这一端口。

端口：443
服务：Https
说明：网页浏览端口，能提供加密和通过安全端口传输的另一种HTTP。

端口：456
服务：[NULL]
说明：木马HACKERS PARADISE开放此端口。

端口：513
服务：Login,remote login
说明：是从使用cable modem或DSL登陆到子网中的UNIX计算机发出的广播。这些人为入侵者进入他们的系统提供了信息。

端口：544
服务：[NULL]
说明：kerberos kshell

端口：548
服务：Macintosh,File Services(AFP/IP)
说明：Macintosh,文件服务。

端口：553
服务：CORBA IIOP （UDP）
说明：使用cable modem、DSL或VLAN将会看到这个端口的广播。CORBA是一种面向对象的RPC系统。入侵者可以利用这些信息进入系统。

端口：555
服务：DSF
说明：木马PhAse1.0、Stealth Spy、IniKiller开放此端口。

端口：568
服务：Membership DPA
说明：成员资格 DPA。

端口：569
服务：Membership MSN
说明：成员资格 MSN。

端口：635
服务：mountd
说明：Linux的mountd Bug。这是扫描的一个流行BUG。大多数对这个端口的扫描是基于UDP的，但是基于TCP的mountd有所增加（mountd同时运行于两个端口）。记住mountd可运行于任何端口（到底是哪个端口，需要在端口111做portmap查询），只是Linux默认端口是635，就像NFS通常运行于2049端口。

端口：636
服务：LDAP
说明：SSL（Secure Sockets layer）

端口：666
服务：Doom Id Software
说明：木马Attack FTP、Satanz Backdoor开放此端口

端口：993
服务：IMAP
说明：SSL（Secure Sockets layer）

端口：1001、1011
服务：[NULL]
说明：木马Silencer、WebEx开放1001端口。木马Doly Trojan开放1011端口。

端口：1024
服务：Reserved
说明：它是动态端口的开始，许多程序并不在乎用哪个端口连接网络，它们请求系统为它们分配下一个闲置端口。基于这一点分配从端口1024开始。这就是说第一个向系统发出请求的会分配到1024端口。你可以重启机器，打开Telnet，再打开一个窗口运行natstat -a 将会看到Telnet被分配1024端口。还有SQL session也用此端口和5000端口。

端口：1025、1033
服务：1025：network blackjack 1033：[NULL]
说明：木马netspy开放这2个端口。

端口：1080
服务：SOCKS
说明：这一协议以通道方式穿过防火墙，允许防火墙后面的人通过一个IP地址访问INTERNET。理论上它应该只允许内部的通信向外到达INTERNET。但是由于错误的配置，它会允许位于防火墙外部的攻击穿过防火墙。WinGate常会发生这种错误，在加入IRC聊天室时常会看到这种情况。

端口：1170
服务：[NULL]
说明：木马Streaming Audio Trojan、Psyber Stream Server、Voice开放此端口。

端口：1234、1243、6711、6776
服务：[NULL]
说明：木马SubSeven2.0、Ultors Trojan开放1234、6776端口。木马SubSeven1.0/1.9开放1243、6711、6776端口。

端口：1245
服务：[NULL]
说明：木马Vodoo开放此端口。

端口：1433
服务：SQL
说明：Microsoft的SQL服务开放的端口。

端口：1492
服务：stone-design-1
说明：木马FTP99CMP开放此端口。

端口：1500
服务：RPC client fixed port session queries
说明：RPC客户固定端口会话查询

端口：1503
服务：NetMeeting T.120
说明：NetMeeting T.120

端口：1524
服务：ingress
说明：许多攻击脚本将安装一个后门SHELL于这个端口，尤其是针对SUN系统中Sendmail和RPC服务漏洞的脚本。如果刚安装了防火墙就看到在这个端口上的连接企图，很可能是上述原因。可以试试Telnet到用户的计算机上的这个端口，看看它是否会给你一个SHELL。连接到600/pcserver也存在这个问题。 参考技术A 端口的分类根据其参考对象不同有不同划分方法，如果从端口的性质来分，通常可以分为以下三类：
（1）公认端口（Well Known Ports）：这类端口也常称之为"常用端口"。这类端口的端口号从0到1024，它们紧密绑定于一些特定的服务。通常这些端口的通信明确表明了某种服务的协议，这种端口是不可再重新定义它的作用对象。例如：80端口实际上总是HTTP通信所使用的，而23号端口则是Telnet服务专用的。这些端口通常不会像木马这样的黑客程序利用。为了使大家对这些常用端口多一些认识，在本章后面将详细把这些端口所对面应的服务进行列表，供各位理解和参考。
（2） 注册端口（Registered Ports）：端口号从1025到49151。它们松散地绑定于一些服务。也是说有许多服务绑定于这些端口，这些端口同样用于许多其他目的。这些端口多数没有明确的定义服务对象，不同程序可根据实际需要自己定义，如后面要介绍的远程控制软件和木马程序中都会有这些端口的定义的。记住这些常见的程序端口在木马程序的防护和查杀上是非常有必要的。常见木马所使用的端口在后面将有详细的列表。
（3） 动态和/或私有端口（Dynamic and/or Private Ports）：端口号从49152到65535。理论上，不应把常用服务分配在这些端口上。实际上，有些较为特殊的程序，特别是一些木马程序就非常喜欢用这些端口，因为这些端口常常不被引起注意，容易隐蔽。
如果根据所提供的服务方式的不同，端口又可分为"TCP协议端口"和"UDP协议端口"两种。因为计算机之间相互通信一般采用这两种通信协议。前面所介绍的"连接方式"是一种直接与接收方进行的连接，发送信息以后，可以确认信息是否到达，这种方式大多采用TCP协议；另一种是不是直接与接收方进行连接，只管把信息放在网上发出去，而不管信息是否到达，也就是前面所介绍的"无连接方式"。这种方式大多采用UDP协议，IP协议也是一种无连接方式。对应使用以上这两种通信协议的服务所提供的端口，也就分为"TCP协议端口"和"UDP协议端口"。

使用TCP协议的常见端口主要有以下几种：
（1） FTP：定义了文件传输协议，使用21端口。常说某某计算机开了FTP服务便是启动了文件传输服务。下载文件，上传主页，都要用到FTP服务。
（2） Telnet：它是一种用于远程登陆的端口，用户可以以自己的身份远程连接到计算机上，通过这种端口可以提供一种基于DOS模式下的通信服务。如以前的BBS是纯字符界面的，支持BBS的服务器将23端口打开，对外提供服务。
（3） SMTP：定义了简单邮件传送协议，现在很多邮件服务器都用的是这个协议，用于发送邮件。如常见的免费邮件服务中用的就是这个邮件服务端口，所以在电子邮件设置中常看到有这么SMTP端口设置这个栏，服务器开放的是25号端口。
（4） POP3：它是和SMTP对应，POP3用于接收邮件。通常情况下，POP3协议所用的是110端口。也是说，只要你有相应的使用POP3协议的程序（例如Foxmail或Outlook），就可以不以Web方式登陆进邮箱界面，直接用邮件程序就可以收到邮件（如是163邮箱就没有必要先进入网易网站，再进入自己的邮箱来收信）。

使用UDP协议端口常见的有：
（1） HTTP：这是大家用得最多的协议，它就是常说的"超文本传输协议"。上网浏览网页时，就得在提供网页资源的计算机上打开80号端口以提供服务。常说"WWW服务"、"Web服务器"用的就是这个端口。
（2） DNS：用于域名解析服务，这种服务在Windows NT系统中用得最多的。因特网上的每一台计算机都有一个网络地址与之对应，这个地址是常说的IP地址，它以纯数字+"."的形式表示。然而这却不便记忆，于是出现了域名，访问计算机的时候只需要知道域名，域名和IP地址之间的变换由DNS服务器来完成。DNS用的是53号端口。
（3） SNMP：简单网络管理协议，使用161号端口，是用来管理网络设备的。由于网络设备很多，无连接的服务就体现出其优势。
（4） OICQ：OICQ程序既接受服务，又提供服务，这样两个聊天的人才是平等的。OICQ用的是无连接的协议，也是说它用的是UDP协议。OICQ服务器是使用8000号端口，侦听是否有信息到来，客户端使用4000号端口，向外发送信息。如果上述两个端口正在使用（有很多人同时和几个好友聊天），就顺序往上加。

在计算机的6万多个端口，通常把端口号为1024以内的称之为常用端口，这些常用端口所对应的服务通常情况下是固定的。表1所列的都是服务器默认的端口，不允许改变，一般通信过程都主要用到这些端口。

表1

服务类型
默认端口
服务类型
默认端口

Echo
7
Daytime
13

FTP
21
Telnet
23

SMTP
25
Time
37

Whois
43
DNS
53

Gopher
70
Finger
79

WWW
80
POP3
110

NNTP
119
IRC
194

另外代理服务器常用以下端口：
（1）. HTTP协议代理服务器常用端口号：80/8080/3128/8081/9080
（2）. SOCKS代理协议服务器常用端口号：1080
（3）. FTP协议代理服务器常用端口号：21
（4）. Telnet协议代理服务器常用端口：23

==资料来源---天极网 参考技术B 没用
别人病毒访问的端口设成80呢
游戏的端口一般都不是80
所以会玩不了游戏 参考技术C 如果需要对外提供服务，端口主要如下：
web服务：80（http）
442(https)
邮件服务：25（IMAP）
110(POP3)
FTP服务：21
SQL
Server数据库：1433
开这些就够啦``` 参考技术D 你想干什么啊?
软件端口一般都是固定的,只有极少数软件可以自定义端口.系统端口的打开与关闭,一般需要特殊软件来帮忙,而2000,XP等系统的端口也可以关闭或打开相应的服务,而实现关闭和打开.
如果你是想关闭某些特定端口,可以使用防火墙来设置拒绝访问特定端口,以实现特定端口的关闭.