Windows 2000 移除預設管理共享 (C$, D$, ADMIN$) 強化主機安全

風險背景

Windows 2000 以上系統預設自動建立隱藏管理共享（C$、D$、ADMIN$、IPC$ 等），方便遠端管理。但若系統帳號密碼脆弱或為空，攻擊者可利用工具快速枚舉共享、暴力破解密碼，進而完全控制主機。

方法：使用系統原則編輯器 (poledit) 關閉預設共享

1. 「開始」→「執行」輸入 poledit 啟動系統原則編輯器
2. 「檔案」→「開啟登錄表」→ 雙擊「本機電腦」開啟屬性對話框
3. 展開：「Windows NT 網路」→「共享」
4. 取消勾選以下兩項：
   • 建立隱藏的磁碟機共用 (工作站)
   • 建立隱藏的磁碟機共用 (伺服器)
5. 按「確定」→ 回到主視窗選擇「儲存」
6. 重新開機，預設管理共享即被移除

補充說明

• Windows 2000 Professional 預設未安裝 poledit.exe，需從安裝光碟 I386\ADMINPAK.MSI 安裝 Windows 管理工具
• 此法修改註冊表鍵值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters 下的 AutoShareServer (Server) 與 AutoShareWks (Workstation) 設為 0
• 若需暫時恢復共享進行遠端維護，可臨時將值改回 1 並重啟 Server 服務（net stop server && net start server），維護完畢再改回 0
• IPC$ (命名管道共享) 為系統進程通訊必需，無法透過此法關閉，亦不建議關閉

替代方案：登錄表直接修改（無需 poledit）

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]
"AutoShareServer"=dword:00000000
"AutoShareWks"=dword:00000000

儲存為 disable_default_shares.reg 雙擊匯入，重啟生效。

總結

關閉預設管理共享是主機強化的基礎動作之一，配合強制複雜密碼原則、帳號鎖定原則、限制遠端桌面/終端機服務存取 IP，可大幅提升主機抗暴力破解與橫向移動能力。