Part I. 组策略法

第一步，点击开始，运行，gpedit.msc，双击打开本地安全策略，选中IP安全策略，在本地计算机，在右边窗格的空白位置右击鼠标，在弹出的快捷菜单里选择创建IP安全策略，这样弹出一个向导。在向导中点击下一步按钮，为新的安全策略命名（不重新命名也可以，以下都以未重新命名的为例）；再按下一步，显示安全通信请求画面，在画面上把激活默认相应规则左边的钩取消，点击完成按钮就创建了一个新的IP安全策略。 
       第二步，右击该IP安全策略，在属性对话框中，把使用添加向导左边的钩取消，然后单击添加按钮添加新的规则，随后弹出新规则属性对话框。在对话框中点击添加按钮，弹出IP筛选器列表窗口；在列表中，同样把使用添加向导左边的钩取消掉，然后再点击右边的添加按钮添加新的筛选器。 
       第三步，进入了筛选器属性对话框，首先看到的是寻址，源地址选任何IP地址，目标地址选我的IP地址；点击协议选项卡，在选择协议类型的下拉列表中选择TCP，然后在到此端口下的文本框中输入135，点击确定按钮，这样就添加了一个屏蔽TCP135（RPC）端口的筛选器，它可以防止外界通过135端口连上你的电脑。点击确定后回到筛选器列表的对话框，可以看到已经添加了一条策略。重复以上步骤继续添加TCP137、139、445、593 端口和UDP135、139、445 端口，也可继续添加TCP1025、2745、3127、6129、3389 端口的屏蔽策略为它们建立相应的筛选器。最后点击确定按钮。
       第四步，在新规则属性对话框中，选择新IP 筛选器列表，然后点击其左边的圆圈上加一个点，表示已经激活，接着点击筛选器操作选项卡，在筛选器操作选项卡中，也把使用添加向导左边的钩取消，点击添加按钮，添加阻止操作；在新筛选器操作属性的安全措施选项卡中，选择阻止，然后点击确定。 
       第五步、进入了新规则属性对话框，点击新筛选器操作，其左边的圆圈会加了一个点，表示已经激活，点击关闭按钮，关闭对话框；最后回到新IP安全策略属性对话框，在新的IP筛选器列表左边打钩，按确定按钮关闭对话框。回到本地安全策略窗口，用鼠标右击新添加的IP安全策略，选择指派。 
       重新启动后，电脑中上述网络端口就被关闭了，病毒和黑客再也不能连上这些端口，从而保护了我们的电脑。（有的用户管理员的密码为空，是不好的，这会让人有机可乘。另win9X与win2000/xp内核不一样，设置也不一样。）


Part II.修改系统方法

winxp查找本地运行了哪些网络服务,命令 
netstat -an 
netstat -ano 
查看本地特定端口连接情况 
netstat -anp tcp | find ":1367" 

1.关闭TCP端口25、80、443(SMTP服务，HTTP服务和IIS管理服务(win2000服务相关)) 
关闭IIS Admin 服务即可!以下服务将随之关闭! 
相关服务(World Wide Web Publishing Service ;Simple Mail Transport Protocol (SMTP)) 
防止IIS服务再次随系统重新启动的最简单办法是移除IIS组件，在控制面板中选添加/删除 
命令: 
net stop iisadmin 

2.关闭win2000 server并列事务服务!(Distributed Transaction Coordinator service) 
并列事务服务在Windows 2000 server上默认安装和启动并打开了TCP端口3372和一个大于1023的端口 
命令 
net stop msdtc 

3.关闭Windows XP的服务(TCP 5000，UDP 123、500和1900端口): 
IPsec services (PolicyAgent) 
SSDP Discovery Service (SSDPSRV) 
Windows Time (W32Time) 
命令: 
net stop policyagent 
net stop ssdpsrv 
net stop w32time 

4.关闭137、138、139端口 
NetBT使用了UDP 137、138和TCP 139端口。 
要关闭这些端口，必须在所有网络适配器(Adapter)上禁用NetBT协议。 
方法： 
本地连接属性->Internet协议 (TCP/IP)->属性->高级->WINS，禁用TCP/IP上的NetBIOS 
用来解析NetBIOS名字的lmhosts服务，也可以停止并禁用 
命令: 
net stop lmhosts 

5.关闭TCP 445端口 
可以有两种方法： 
第一. 禁用NetBT驱动 
第二. 修改注册表以禁用TCP上的CIFS 
-[ 禁用 NetBT 驱动 ]- 
完全在系统中禁用SMB的方法，就是同时禁用SMB客户端（workstation服务）和服务端（server服务）。 
首先要禁用这两个服务（以及所有依赖它们并运行着的服务）。 
win2000命令: 
net stop rdr 
net stop srv 
winxp命令: 
sc config netbt start= disabled 
然后，必须在注册表中修改： 
Key: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT 
Value: Start 
Type: DWORD value (REG_DWORD) 
Content: 4 
-[ 不禁用NetBT，只禁用SMB ]- 
有时，你可能想保留NetBT，但不用它传输SMB，而用TCP 445。 
这种情况下，你可以如下设置注册表 
Key: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBTParameters 
Value: SmbDeviceEnabled 
Type: DWORD value (REG_DWORD) 
Content: 0 (to disable) 

6.关闭135端口(防冲击波病毒) 
135端口主要用于使用RPC（Remote Procedure Call，远程过程调用）协议并提供DCOM（分布式组件对象模型）服务。 
命令: 
dcomcnfg 
组件服务->计算机->我的电脑->属性->默认属性-删除在此计算机上启用分布式COM 
默认协议->删除面向连接的TCP/IP 

7.Windows XP的缓存DNS服务 
dnscache服务UDP端口是1026 
按下面设置后，每次DNS请求使用不同的UDP端口！ 
Key: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters 
Value: MaxCachedSockets 
Type: REG_DWORD 
Content: 0 

作者:http://www.hsc.fr/ressources/breves/min_srv_res_win.en.html.en 


cmd脚本参考: 


ECHO OFF 
rem 关闭TCP端口25、80、443(SMTP服务，HTTP服务和IIS管理服务(win2000服务相关)) 
net stop iisadmin 
rem 并列事务服务!(Distributed Transaction Coordinator service)端口1025或3372 
net stop msdtc 
rem 关闭Windows XP的服务(TCP 5000，UDP 123、500和1900端口): 
rem IPsec services (PolicyAgent) 
rem SSDP Discovery Service (SSDPSRV) 
rem Windows Time (W32Time) 
net stop policyagent 
net stop ssdpsrv 
net stop w32time 

rem Windows XP的缓存DNS服务 
reg add HKLM\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters /v MaxCachedSockets /t REG_DWORD /d 0 /f 

rem 关闭TCP 445端口 
rem win2000命令: 
rem net stop rdr 
rem net stop srv 
rem winxp命令: 
sc config netbt start= disabled 
reg add HKLM\SYSTEM\CurrentControlSet\Services\NetBT /v Start /t REG_DWORD /d 4 /f 

cls 
echo "关闭135端口(防冲击波病毒)" 
echo "组件服务->计算机->我的电脑->属性->默认属性-删除在此计算机上启用分布式COM" 
echo "默认协议->删除面向连接的TCP/IP" 
rem winxp命令: 
start /w dcomcnfg 
pause 

cls 
echo "关闭137、138、139端口" 
rem NetBIOS名字的lmhosts服务 
net stop lmhosts 
cls 
echo "手动操作关闭137、138、139端口" 
echo "本地连接属性->Internet协议 (TCP/IP)->属性->高级->WINS，禁用TCP/IP上的NetBIOS" 
start /w ncpa.cpl 
pause 
pause 


rem ******************************************* 
rem 其它脚本参考 
rem echo 开始封杀135,445端口... 
rem reg add HKLM\SOFTWARE\Microsoft\Ole /v EnableDCOM /d N /f 
rem reg add HKLM\SOFTWARE\Microsoft\Rpc /v "DCOM Protocols" /t REG_MULTI_SZ /d rem ncacn_spx\0ncacn_nb_nb\0ncacn_nb_ipx\0 /f 
rem sc config   MSDTC start= DISABLED 
rem reg add HKLM\SYSTEM\CurrentControlSet\Services\NetBT\Parameters /v SMBDeviceEnabled /t rem REG_DWORD /d 0 /f 
rem echo 封杀135,445端口结束! 
rem *******************************************

您对本文章有什么意见或着疑问吗？请到论坛讨论您的关注和建议是我们前行的参考和动力