135端口，端口一个老掉牙的攻击攻击面。可直到今天，端口内网渗透测试里它依然是攻击兵家必争之地。原因很简单——它跑着Windows的端口远程过程调用服务，而RPC是攻击系统组件之间通信的命脉。攻击者盯上的端口不是端口本身，是攻击端口背后那个能让你“隔空取物”的接口。

最粗暴的端口玩法是NetBIOS NULL Session。早年间Windows 2000时代，攻击匿名用户能直接空密码连上对方的端口IPC$共享。你只需要敲一行命令：net use \\目标IP\IPC$ "" /user:""，攻击然后就能用enum工具把目标机器的端口用户列表、共享目录、攻击甚至密码策略全摸清楚。端口现在默认关闭了，可不少老旧设备或运维偷懒的机器，依旧敞着这扇门。我见过某制造业内网，一台控制机床的工控机还开着这个漏洞，管理员改密码的周期是三年——等于没改。

比空会话更致命的是RPC缓冲区溢出。当年大名鼎鼎的MS03-026（冲击波蠕虫用的就是它）就是通过135端口打远程缓冲区，直接拿到SYSTEM权限。虽然补丁出了二十年，可你架不住总有人不更新。去年我做一次授权测试，客户内网里一台Windows Server 2003还裸奔着，扫描器一扫，135端口回显的版本信息还是老掉牙的5.2.3790。利用代码现成的，一条MSF的exploit打过去，两秒钟，反弹shell到手。

别以为光打补丁就完了。现在的攻击者更爱玩“组合拳”。RPC服务本身有个特性——它经常以SYSTEM权限运行，而且动态分配端口范围。攻击者先摸到135端口确认RPC活着，然后用RpcMgmtQueryIfIds之类的API去枚举目标机器上到底注册了哪些RPC接口。这一步叫“侦察”。找到那些没做身份验证的接口，比如某些第三方软件的RPC服务，直接构造恶意请求。我就亲眼见过一台装了个旧版备份软件的服务器，它的RPC接口允许任意用户调用“文件恢复”功能——结果攻击者用它把系统目录下的关键DLL给覆盖了。

还有个偏门但有效的招数：利用RPC端口映射服务做内网跳板。135端口本身不转发流量，但它能告诉你其他服务在哪个端口。攻击者连上135，问一句“DCOM在哪跑？”系统会回答“在49152端口”。然后攻击者就顺着这个信息，绕过防火墙对固定端口的封锁，直捣黄龙。这招在穿透DMZ区时特别管用——很多防火墙只放行135，却把高位端口段漏成了筛子。

怎么防？说句实在话，纯靠封端口不现实——很多业务依赖RPC。最有效的办法是限制源IP，只允许可信网段访问135。其次，把RPC动态端口范围缩小，配合防火墙做白名单。最关键的是，别让任何服务以SYSTEM权限裸奔。你非得开RPC，那就套个VPN，或者用IPSEC策略加密通信。别嫌麻烦，比起被拿到域管权限，这点麻烦值回票价。

说到底，135端口像一扇没上锁的后门。门本身是给维修工走的，可你永远不知道谁会假装成维修工。扫描器扫一下，回显一个“RPC正在监听”，对攻击者来说就是一句“欢迎光临”。你堵不住所有漏洞，但至少得让这扇门看起来不那么诱人。