直接连上就能翻你共享文件夹，解决甚至往里面丢勒索病毒。办法去年某制造业客户的服务访问内网就是这么瘫痪的——生产图纸被加密，车间停摆三天，授权损失六位数。漏洞别以为装了防火墙就没事，解决内网横向渗透往往就从这台“不起眼”的办法打印机共享开始。 **先堵漏洞，服务访问最快的授权办法是直接关掉SMBv1协议。** Windows系统在“控制面板-程序和功能-启用或关闭Windows功能”里，漏洞把SMB 1.0/CIFS文件共享支持的解决勾选去掉，重启生效。办法这版本协议老旧，漏洞最多，2017年的永恒之蓝就是靠它传播。如果业务必须用SMB，至少升到v2或v3，加密和认证机制都强不少。 **其次是改访问权限，别让Everyone可读。** 很多人图方便，共享文件夹权限直接给“所有人完全控制”。这等于把家门钥匙挂门口。正确做法是：只允许特定用户或组访问，并且区分读写权限。比如财务部只给会计账号写权限，其他部门只读。具体操作：共享文件夹右键-属性-共享-高级共享-权限，删掉Everyone，添加指定账户。注意，这里改的是共享权限，NTFS权限也得同步收紧，两层都卡死才安全。 **再狠一点，直接禁用445端口。** 如果这台机器不需要对外提供文件共享，直接在防火墙入站规则里阻止TCP 445。命令行执行`netsh advfirewall firewall add rule name="Block SMB" dir=in action=block protocol=TCP localport=445`，秒生效。但小心，这招对域控或文件服务器不适用，会断业务。我见过有人图省事全局禁了，结果集团ERP连不上数据库，运维被骂到凌晨三点。 **还有个容易忽略的点——Guest账户。** 未授权访问经常是通过Guest空密码登进来的。检查组策略：计算机配置-Windows设置-安全设置-本地策略-用户权限分配，把“拒绝从网络访问这台计算机”里加上Guest。同时禁用Guest账户，控制面板-用户账户里直接停用。别小看这一步，很多扫描工具就是专挑Guest试的。 **最后，打补丁和定期扫描。** 微软每月补丁日更新，该装的别拖。用Nmap或Goby扫一下内网，命令就一条：`nmap -p445 --script smb-vuln-* 目标IP`，扫出来有漏洞的机器立刻处理。别等安全设备报警才动，那说明已经被盯上了。 说个真实案例。上个月帮朋友公司排查，发现一台老旧的Windows Server 2008机器，SMBv1开着，共享文件夹里全是合同扫描件。攻击者早就在里面留了后门程序，就等时机拖数据。我们断网、关共享、升协议、改权限，折腾了一下午。最讽刺的是，那台机器的防火墙日志显示，过去三个月有上千次来自外网的445扫描尝试，全被拦截了，但内网IP的访问却一路畅通。所以，内网防护比外网更关键，别以为挂了VPN就万事大吉。 SMB未授权访问不是新问题，但很多人栽在“觉得无所谓”上。关掉不必要的服务，收紧权限，比任何高价安全设备都管用。动手检查一下，十分钟的事，别等出事才后悔。