Windows 常見高危連接埠關閉與木馬清除實戰指南

開放不必要的連接埠是駭客與木馬入侵的主要管道。本文針對 113、3389、4899、5800/5900、6129、1029/20168、45576 及 139 等高風險連接埠，提供逐步關閉與清除木馬的標準作業程序，並涵蓋 Windows 9x/NT/2000/XP/2003 多版本操作差異。

一、通用排查工具準備

• netstat -an：快速列出所有開放連接埠與狀態。
• fport（或 netstat -ano 配合 tasklist）：對應連接埠至 PID 與執行檔完整路徑。
• 任務管理員 / Process Explorer：結束惡意進程。
• Regedit：清除啟動項與殘留鍵值。

二、依連接埠分類處理

1. TCP 113 — IRC 型木馬（如 vhos.exe）

1. netstat -an 確認 113 開放。
2. fport 定位 PID 與路徑（例：C:\WINNT\system32\vhos.exe）。
3. 任務管理員結束該 PID。
4. Regedit 搜尋並刪除該檔案相關鍵值（Run、RunOnce、Services 等）。
5. 刪除檔案本體及同目錄下可疑檔（rscan.exe、pscan.exe、ipcpass.dic 等）。
6. 重開機驗證。

2. TCP 3389 — 終端機服務（非木馬，但常被暴力破解）

• Win2000 Server/Pro：services.msc →「Terminal Services」→ 啟動類型改「手動」並停止。
• WinXP/2003：我的電腦右鍵 → 內容 → 遠端 → 取消「允許遠端協助邀請」與「允許遠端桌面連線」。

3. TCP 4899 — Radmin 遠端控制軟體（常被盜用）

1. 命令列：cd %windir%\system32 → r_server.exe /stop → r_server.exe /uninstall /silence。
2. 刪除 r_server.exe、admdll.dll、radbrv.dll。

4. TCP 5800/5900 — VNC 類木馬（常偽裝為 C:\WINNT\Fonts\explorer.exe）

1. fport 定位真偽 explorer.exe（系統本體在 C:\Windows\）。
2. 結束偽裝進程（誤殺真 explorer 可執行 C:\Windows\explorer.exe 恢復）。
3. 刪除 C:\WINNT\Fonts\explorer.exe 及同目錄異常檔。
4. Regedit 刪除 HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Explorer。
5. 重開機。

5. TCP 6129 — DameWare Mini Remote Control

1. services.msc →「DameWare Mini Remote Control」→ 啟動類型「停用」並停止。
2. 刪除 C:\WINNT\system32\DWRCS.EXE。
3. Regedit 刪除 HKLM\SYSTEM\ControlSet001\Services\DWMRCS。

6. TCP 1029/20168 — Lovgate 蠕蟲後門

直接下載瑞星專殺工具：Lovgate 專殺，執行兩次並重開機。

7. TCP 45576 — 代理軟體後門（常見 SkSocks）

1. fport 定位程式路徑。
2. services.msc 停用對應服務（通常為 SkSocks）。
3. 刪除程式檔案。

8. TCP 139 — NetBIOS 會話服務（資訊洩漏與攻擊入口）

三、防護原則總結

1. 最小開放原則：僅開放業務必須的連接埠。
2. 雙向綁定：客戶端 arp -s 綁定閘道 MAC，路由器端啟用 IP-MAC 綁定與 ARP 防毒。
3. 定期稽核：排程掃描開放埠、檢查異常進程、更新防毒特徵碼。
4. 系統強化：安裝修補程式、關閉非必要服務（Server、共用）、強化帳號密碼、啟用防火牆。

依循上述流程，可系統性封堵高危連接埠並清除常見木馬，大幅降低內網被橫向滲透風險。