2026年等保制度发生变化现在做了一次等保不能永久变成了每三年一次。当年山金想搞二级结果最后不了了之..........开始–运行–eventvwr 打开Windows日志查看器。开始–运行–ncpacpl网络连接设置界面WinR后输入control打开控制面板开始–运行–inetcpl.cpl internet选项但是这里我要指出的是这么多年不断有人我提点我比如tj说的是和人打交道才能挣到钱和机器打交道是没有前途的kll说的是你多会一条命令没有人会说ljh你好厉害ych说人是要向上走的所以我现在根据我目前的情况重新制定职业规划接下来规划就是挑战年薪30万。总的来讲安服检查侧重的是技术层面等保二级侧重的方面主要是合规性等保二级运维方面就做两个检查一个是漏洞扫描一个是配置核查。检查的内容包括——应用系统服务器网络。其他的还用制度方面的检查也正式因为是偏向于合规方向的检查他的检查报告里面不仅有问题点更多的是合规的内容符合了等保二级的规定原理扫描是指扫描器不只依赖服务版本、Banner 或漏洞特征库而是依据漏洞形成的技术原理、协议交互逻辑和系统行为规律构造特定测试请求并分析目标响应以判断目标是否存在某类安全问题的扫描方法。原理扫描是基于漏洞形成机理构造验证条件并通过分析目标实际响应和行为来判断安全问题是否成立的主动检测方法。特征扫描是指扫描器依据目标系统公开或可识别的技术特征与漏洞特征库、产品指纹库或安全规则进行匹配从而推断目标是否可能存在某类安全问题的扫描方法。这里的“特征”可以包括服务 Banner 和版本信息HTTP 响应头、页面内容和错误信息产品指纹、组件名称及版本号开放端口和协议类型文件、目录、接口或默认配置特定漏洞对应的响应字符串操作系统、框架和中间件的识别结果。高危漏洞可以通过地址限制来降低危险等级一般上在防火墙做的尤其是内网防火墙去限制某些机器可以访问。主机上面必须安装杀毒软件这是唯一的解决途径在配置核查里面可以发现主机的确有一些高危端口开放比如445但能否成功访问取决于网络连通性 SMB 服务 防火墙策略 用户身份认证 共享权限 NTFS 权限 是以上这些东西共同作用的结果。DACLDiscretionary Access Control List自主访问控制列表用于规定哪些用户或用户组被允许或拒绝执行特定操作。SACLSystem Access Control List系统访问控制列表用于规定哪些访问行为需要被系统审计和记录例如成功访问、失败访问等。相关概念ACLAccess Control List访问控制列表是 DACL 和 SACL 的统称ACEAccess Control Entry访问控制项是 ACL 中的单条权限规则。├── DACL控制“谁可以做什么” └── SACL记录“谁做了什么、是否成功”其实归结到最后最重要的是一个资产的范围终端就应该是一台干净的专门管理网络的专用机器而不是一个乱七八糟什么都有的通用机器首先第一点这个机器一旦出了问题syhyz会管理吗最后都会归结到自己头上我有能力但没精力管那么多最后还是会让领导怀疑我的能力还有虚拟机和物理机器虽然都是从裸金属向上都要查但是虚拟机比物理机多了一层操作系统这一层的漏洞也要查所以最后把两台也去除掉了最后一句话总结资产的范围要格外小心。不能随随便便就把东西资产交出去了。135 端口主要用于使用RPCRemote Procedure Call远程过程调用协议并提供DCOM分布式组件对象模型服务通过RPC可以保证在一台计算机上运行的程序可以顺利地执行远程计算机上的代码使用DCOM可以通过网络直接进行通信能够包括HTTP协议在内的多种网络传输。137 端口主要用于 “NetBIOS Name Service”NetBIOS名称服务作用是在局域网中提供计算机的名字或IP地址 查询服务一般安装了NetBIOS协议后该端口会自动处于开放状态要是非法入侵者知道目标主机的IP地址并向该地址的137端口发送一个连接请求时就可能获得目标主机的相关名称信息。138 端口137、138端口都属于UDP端口它们在局域网中相互传输文件信息时就会发生作用。而138端口的主要作用就是提供NetBIOS环境下的计算机名浏览功能。139 端口139端口是一种TCP端口该端口的作用是访问局域网中的共享文件或共享打印机。关闭方法在控制面板中找到网卡------internet协议版本4TCP/IPv4-----高级-----WINS-----禁用TCP/IP上的NetBIOS。比如危害全球的永恒之蓝就是利用的445端口。首先我们来了解一些基础知识SMB(Server Message Block) Windows协议族用于文件打印共享的服务;NBT(NETBIOS Over TCP/IP)使用137UDP138UDP139TCP端口实现基于TCP/IP协议的NETBIOS网络互联从 Windows 95 开始Microsoft Windows 操作系统支持 SMB 协议 但是由于SMB由于有漏洞。所以在Windows Vista之后Windows开始使用 SMB2 协议。也就是自Vista之后的WIN7、Windows Server 2008等都是用的SMB2 协议。而Windows XP和Windows Server2003及其之前的机器都是用的SMB协议。在WindowsNT中SMB除了基于NBT实现还可以直接通过445端口实现。有了这些基础知识我们就可以进一步来讨论访问网络共享对端口的选择了对于winNT客户端发起端来说如果在允许NBT的情况下连接服务器时客户端会同时尝试访问139和445端口如果445端口有响应那么就发送RST包给139端口断开连接用455端口进行会话。当445端口无响应时才使用139端口如果两个端口都没有响应则会话失败如果在禁止NBT的情况下连接服务器时那么客户端只会尝试访问445端口如果445端口无响应那么会话失败。对于winNT服务器端来说如果允许NBT, 那么UDP端口137、138TCP 端口 139445将开放如果禁止NBT那么只有445端口开放。Windows默认开放135、137、138、139和445五个端口主要是方便初级用户操作即不进行必要地设置就可以使用网络通信和各种共享服务。但这样一来用户不希望启动或者用不到的一些服务都会随机启动主机连接因特网后会在用户不知晓的情况下泄露本机信息。因此我们应尽可能的多了解一些这些端口的作用权衡端口开放的利与弊然后制定相应的安全策略。TCP135端口在Windows默认的五个典型开放端口中135用途最为复杂也最容易引起外部攻击。若使用SecurityFriday公司开发的一款名叫 IEen 软件进行端口安全性验证就能清楚地看到这个端口开放是非常的危险的。IEen是一种远程操作IE浏览器的工具。使用它不仅可以获得其它电脑IE浏览器的信息而且还可以对浏览器进行操作。具体而言就是可以得到正在运行的IE浏览器的窗口一览表、各窗口所显示的Web站点的URL和Cookie以及在检索站点中输入的检索关键词等信息。IEen使用的是 Windows NT4.0/2000/XP 集成的分布式对象技术 DCOM分布式组件对象模块可以远程操作其他电脑中的DCOM应用程序。该技术使用的是 RPCRemote Procedure Call远程过程调用服务。这个RPC服务使用的就是135端口。RPC是 Windows 操作系统使用的一个远程过程调用服务。RPC 提供了一种进程间的通信机制通过这一机制允许在某台计算机上运行的程序流畅地在远程系统上执行代码。协议本身源自OSF开放式软件基础RPC 协议但增加了一些 Microsoft 特定的扩展 。由于使用 RPC 的程序不必了解支持通信的网络协议的情况因此 RPC 提高了程序的互操作性。因为在 RPC 中发出请求的程序是客户程序而提供服务的程序是服务器。所以利用RPC功能进行通信时就会向对方电脑的135端口询问可以使用哪个端口进行通信。这样对方的电脑就会告知可以使用的端口号。在非加密状态下使用IEen可以看到对方电脑本应受到SSL保护的数据甚至能够直接看到比如在网络银行等输入的银行现金卡密码等信息。所以也不可避免地暴露了漏洞。攻击者能利用该漏洞在受影响的系统上以本地系统权限运行代码执行任何操作包括安装程序查看、更改或者删除数据或者建立系统管理员权限的帐户。针对这一漏洞的蠕虫病毒有许多。早期的这些蠕虫病毒只是攻击此漏洞造成远端系统的崩溃而大名鼎鼎的冲击波漏洞”则会利用这一漏洞进行快速传播轻而易举地控制他人的IP地址和注册名使更多的个人或公司系统遭殃。回避这种危险的最好办法是关闭RPC服务。如果不使用DCOM特定的应用程序如 Web服务器、邮件或DNS服务器等即便关闭135端口也不会出现任何问题。关闭RPC服务的方法是在“控制面板”的“管理工具”中选择“服务”在“服务”窗口中打开“Remote Procedure Call”属性在属性窗口中将启动类型设置为“已禁用”重新启动电脑RPC就不再运行。也可打开注册表编辑器将“HKEY_LOCAL_MACHINE//SYSTEM//CurrentControlSet//Services//RpcSs”的“Start”的值由0x04变成0x02后重新起动机器即生效。原文链接https://blog.csdn.net/weixin_51173317/article/details/124314199NetBIOS全称是Network Basic Input/Output System网络基本输入输出系统。它最初一套让应用程序能够在局域网中给计算机或服务注册名称查找其他计算机建立会话发送数据报的网络通信接口和服务规范。NETBIOS网络基本输入/输出系统本质上是一套应用程序编程接口API而非网络协议本身。它诞生于1980年代旨在让局域网内的计算机程序能够互相通信、共享文件和打印机。如今它的核心功能已被更现代的协议取代但在某些旧系统和特定场景中仍留有痕迹。后来大家通常把“NetBIOS”泛指 NetBIOS 相关协议尤其是NetBIOS over TCP/IP简称 NBT。NETBIOS 的历史始于 IBM 对个人计算机局域网的需求。1983年IBM 委托 Sytek 公司为其IBM PC Network开发了一套软件 API这就是 NETBIOS 的雏形。1984年IBM 将这套标准开放给外界使用。1985年为了让旧软件能在新的令牌环Token Ring网络上运行IBM 开发了模拟器NetBEUINetBIOS 扩展用户界面并配套制定了 NBF 协议。1986-1987年Novell 将其实现在 IPX/SPX 协议上随后 IETF 发布 RFC 1001/1002确立了NetBIOS over TCP/IP (NBT)标准使其能运行在 TCP/IP 网络上NetBIOS 的三类核心服务不论NetBIOS如何发展 NetBIOS 相关功能都是如此通常分成三类。1. 名称服务Name Service作用是注册名称查询名称解析名称对应的 IP 地址发现局域网中的主机和服务。例如查询FILESERVER 结果192.168.1.20在 NetBIOS over TCP/IP 中名称服务使用UDP 137常见工具命令nbtstat -n nbtstat -c nbtstat -A 192.168.1.20 这个可以解决ip地址冲突名称通常是长度为 15 个字符的计算机名另有 1 个字节表示服务类型。例如WORKSTATION00 WORKSTATION20其中00常用于工作站服务20常用于文件服务器服务1B、1C等表示域相关服务。这也是为什么在安全测试中经常能从 NetBIOS 名称表中推测主机名域名文件共享角色域控制器信息。2. 数据报服务Datagram Service数据报服务类似于一种无连接通信不需要先建立会话不保证一定送达不保证顺序适合广播或简单消息。使用端口UDP 138它适合局域网广播主机发现简单通知。可以把它类比为在办公室里喊一嗓子“谁叫 FILESERVER”而不是专门和某个人建立一条可靠电话线路。3. 会话服务Session Service会话服务提供相对可靠的连接型通信建立会话发送数据接收数据维持连接关闭会话。使用端口TCP 139早期 Windows 文件共享通常是SMB over NetBIOS over TCP/IP也就是SMB → NetBIOS Session Service → TCP 139随着 Windows 2000 及 Active Directory 的普及微软开始引导用户转向 DNS 进行名称解析NETBIOS 的衰落便开始了。核心地位丧失在纯现代的 Windows 网络中NETBIOS 已不再是必需组件。DNS 承担了主要的名称解析工作。残留的依赖尽管如此为了兼容旧客户端如 Windows 98或旧应用许多网络仍保留着它。其中WINSWindows Internet 名称服务就是微软实现的 NetBIOS 名称服务器用于在跨网段时解析 NetBIOS 名称。安全风险由于 NETBIOS 名称服务NBNS端口 137会响应查询请求暴露在网络上的该服务可能被利用进行DDoS 反射/放大攻击或通过枚举获取网络中的计算机列表、共享资源等敏感信息。⚙️ 最后一句话总结要理解它的“古往今来”有必要了解它留下的几个关键概念NetBIOS 名称长度固定为16 字节。前 15 字节是计算机名或域名第 16 字节后缀用于标识服务类型例如00代表工作站服务20代表文件服务器服务。三种服务它主要提供名称服务登记和查找名字端口 137、数据报服务无连接通信端口 138和会话服务面向连接的通信端口 139。名称解析方式早期靠广播B节点寻找目标这在跨网段时会失效。后来引入了WINS 服务器P节点进行集中查询以及结合两者的混合模式M/H节点。总的来说NETBIOS 是早期 PC 局域网时代的“功臣”它定义了一套让程序通信的简单规则。虽然它的历史使命已基本完成但了解它有助于你理解“网上邻居”的工作原理以及为什么在某些老旧的网络排错中还会看到它的影子。135端口关闭RPC服务后会给Windows的运行带来很大的影响。RPC远程过程调用服务是 Windows 的基础依赖禁用它会引发严重的系统问题。微软官方明确建议不要禁用 RPC 服务。因为大量 Windows 核心组件都依赖它运行。比如如果客户端关闭了135端口就无法使用Outlook连接Exchange Server。因为管理分布式处理的MSDTC、负责应用程序之间的信息交换的MSMQ以及动态地向连接网络的电脑分配地址的DHCP等服务也都使用这个端口。后台智能传送服务 (BITS)COM 事件系统分布式事务协调器 (MSDTC)网络连接打印后台处理程序任务计划程序Windows InstallerWindows Management Instrumentation (WMI)其背后的技术概念“远程过程调用”RPC的历史比 Windows 本身要久远得多。它的核心思想很简单让程序调用另一台计算机上的功能就像调用本机功能一样自然。这项技术经历了从学术构想、工业标准到成为 Windows 基石的过程。起源让网络调用像本地调用一样简单RPC 的概念并非微软首创。它的理论雏形可以追溯到 20 世纪 70 年代而“远程过程调用”这个术语则是在1981 年由 Bruce Jay Nelson 正式提出的。其初衷是简化分布式编程程序员无需为网络通信编写复杂的细节只需像调用本地函数一样去调用远程计算机上的函数。在 20 世纪 80 年代多家公司和组织开发了各自的 RPC 实现。其中Apollo 计算机公司开发的网络计算系统NCS包含了一个关键的“位置代理”功能允许服务动态注册客户端也能动态发现它们这为后来的目录服务奠定了概念基础。️ 标准化与微软的采纳到了 80 年代末为了统一标准包括 Apollo、IBM、DEC 在内的多家公司联合成立了开放软件基金会OSF。Apollo 的 NCS 技术被贡献出来最终演变成了分布式计算环境DCE其核心组件就是DCE/RPC。微软在 90 年代初开发 Windows NT 时需要一套成熟的分布式计算能力。他们没有选择从头发明而是授权引用了 DCE 1.1 的规范在此基础上构建了自己的版本——Microsoft RPCMSRPC。微软对其进行了扩展例如增加了对 Unicode 字符串的支持并使其能更好地服务于 COM/DCOM 等组件技术。从那时起MSRPC 就成为了 Windows 系统中进程间通信和客户端/服务器模式的基础你之前提到的端口 135端点映射器正是这个体系里的“总机”。⚠️ 一次深刻的教训冲击波蠕虫进入 21 世纪RPC 因其核心地位也成为了安全攻击的焦点。2003 年一个利用 Windows DCOM RPC 接口漏洞的“冲击波”Blaster蠕虫爆发。它通过扫描开放135 端口的机器进行传播在短短几天内感染了全球超过140 万台计算机并造成了巨大的经济损失。这次事件深刻影响了 Windows 的安全策略也让“RPC 很关键、也很脆弱”的印象深入人心。Windows RPCRemote Procedure Call远程过程调用是 Windows 分布式体系的基础通信机制其思想源于早期分布式计算中的“远程函数调用”经由 Sun RPC、DCE/RPC 等技术发展在 Windows NT 及 Windows 2000 以后广泛用于服务间通信、WMI、DCOM、Active Directory、组策略、远程管理、MSDTC、部分 MSMQ 功能以及传统 Exchange 的 MAPI over RPC 等场景。需要严格区分的是RPC 服务本身、TCP 135 端口和 RPC 动态端口并非同一概念TCP 135 通常承担 RPC Endpoint Mapper 的职责客户端先通过它查询目标接口所在的动态端口再与具体服务建立通信因此关闭 TCP 135 会使许多依赖端点映射的远程功能失败但并不等于关闭了本机 RPC 服务而直接将 Windows 的 RPC 服务设置为禁用则可能破坏大量系统服务的依赖链导致服务无法启动、域登录和远程管理异常、应用连接失败并因重试与超时使系统启动明显变慢。旧版 Outlook 使用 MAPI over RPC 连接 Exchange 时确实可能依赖 TCP 135 及动态 RPC 端口但现代 Outlook 更多使用 MAPI over HTTP经 TCP 443 通信MSDTC 和部分 MSMQ 管理功能可能依赖 RPCRPC 在 2003 年 MS03-026 等重大远程代码执行事件中暴露出较大攻击面促使 Windows 防火墙、网络分区和访问控制不断强化然而现代安全实践的目标并不是粗暴关闭 RPC而是在保持必要系统功能的前提下通过防火墙限制 TCP 135 和动态 RPC 端口的可达范围仅允许域控制器、管理网段、跳板机和明确授权的业务服务器访问并结合端口范围规划、日志审计、补丁管理和业务验证实现最小权限。简而言之RPC 是 Windows 的“系统通信骨架”135 端口是其“端点查询入口”动态端口是具体服务的通信通道安全加固应当控制其暴露面而不是未经评估地摧毁整个 RPC 基础。做甲方一定要遵循的准则就是不能把东西随随便便就交出去。要把控好。