445端口，端口一个老掉牙的漏洞攻击面，却到今天都没死透。端口它对应的漏洞是Windows的SMB（服务器消息块）协议，专门负责文件共享、端口打印机共享这类“局域网内互相传东西”的漏洞活儿。问题是端口，这个协议设计于上世纪80年代，漏洞那时候互联网还没诞生，端口安全压根不在考虑范围内。漏洞于是端口，这个端口成了黑客眼里的漏洞“后门一条街”。
最臭名昭著的端口，莫过于2017年的漏洞永恒之蓝（EternalBlue）。NSA泄露的端口网络武器，利用SMBv1的缓冲区溢出漏洞，不需要用户点任何链接，只要电脑开着445端口连着网，攻击者就能远程执行代码。WannaCry勒索病毒靠它一夜之间席卷150多个国家，医院、工厂、加油站的大屏集体蓝屏。你问现在还有没有？有，而且不少。很多老旧设备、工控系统、甚至某些银行的ATM机，至今还开着SMBv1，只是没人敢声张罢了。
除了永恒之蓝，445端口还有一堆“慢性病”。比如SMB反射攻击，攻击者可以伪造请求，让受害者的电脑向自己发送认证数据，然后暴力破解密码。还有SMBv2的“零日”漏洞，微软虽然打了补丁，但总有企业因为“业务兼容性”拒绝更新。说白了，这个端口就像一扇没换锁的老木门，锁芯换了又换，门框早就朽了。
现实中，我见过最离谱的案例是某小型制造企业。他们的文件服务器开着445端口，为了方便车间工人共享图纸，密码设成了“123456”。结果被勒索病毒扫到，所有CAD文件被加密，要价3个比特币。老板舍不得钱，最后花了五倍代价找数据恢复公司，还停机两周。其实，他们只需要关掉445端口，或者用VPN替代直连，就完全能避开这场灾。
那怎么防？不是让你把SMB协议整个删了——那样局域网共享就废了。最直接的做法：在防火墙里封掉对外的445端口，只允许内网IP访问。其次，禁用SMBv1，这玩意儿该进博物馆了。再就是强制使用强密码，别拿“admin”糊弄自己。你可能会说，我家里电脑开着445也没事啊？对，家用路由器默认不转发这个端口，但如果你在公共WiFi下开着文件共享，旁边的人用扫描工具一探，分分钟能摸进你硬盘。
说到底，445端口的问题不是技术复杂，而是懒惰。微软早就给了补丁，但很多系统管理员连重启服务器都嫌麻烦。攻击者不傻，他们专挑没打补丁的机器下手，就像小偷专挑没锁门的自行车。你要是开着445端口裸奔，那就等于在门口挂了个牌子：“欢迎入侵，密码弱智”。
别指望这个端口会消失，SMB协议已经嵌进Windows的骨髓里了。但你可以做到：关掉不必要的共享，封掉外网访问，定期检查日志。不然，下一个被勒索的，可能就是你。