Windows XP 空連接機制與安全設定詳解

什麼是空連接？

所謂「空連接」，是指在無需提供帳號密碼的情況下，以匿名身分連接到遠端 Windows 主機的 IPC$ 共享。只要目標主機啟用 Server 服務，且 TCP 139 或 445 連接埠開放，執行 net use \\target\IPC$ "" /u:"" 即可建立連線，系統回應「Command completed successfully」。這項特性從 Windows NT 4.0、Windows 2000 一直延續至 Windows XP，並未改變。

真正改變的是「連線後能做什麼」

在 NT 4.0 和 Windows 2000 預設狀態下，建立空連接後可枚舉使用者帳號清單與共享資源資訊。透過登錄表值 RestrictAnonymous=1 可部分阻擋枚舉，RestrictAnonymous=2（僅限 Win2K）則能完全封鎖。

Windows XP 重新定義的登錄表鍵值

RestrictAnonymousSam（預設 = 1）

對應安全性原則「不允許匿名列舉 SAM 帳號」。啟用時（預設），匿名連線無法列舉詳細使用者帳號資訊。

RestrictAnonymous（預設 = 0）

對應安全性原則「不允許匿名列舉 SAM 帳號和共享」。若設為 1，則連共享資訊也無法被匿名枚舉。

RestrictAnonymous = 2 在 XP 已失效

Windows XP 移除此設定，不再支援 Win2K 風格的完全封鎖模式。

預設情況下的 XP 行為

匿名使用者可建立空連接並枚舉共享資訊，但無法取得詳細帳號資料。

徹底禁止匿名連線的建議

• 於 IPsec 原則或網際網路連線防火牆中封鎖 TCP 139/445。
• 或於網路介面卡屬性中取消勾選「Microsoft 網路的檔案和印表機共用」。

結語

理解空連接機制與 XP 新登錄值的差異，能協助管理者精準調整匿名存取權限，在維持網路功能與資安之間取得平衡。