NetBIOS（网络基本输入输出系统）本身不是文件漏洞，但它设计的共享时代背景——上世纪80年代的局域网——决定了它压根没考虑过“有人会从互联网上连过来”这种场景。文件共享靠的漏洞是NetBIOS会话服务（端口139）和后来的SMB直接承载（端口445），这两扇门一旦对公网敞开，主使等于把整台电脑的协议硬盘挂到了全球任何一台能ping通你的机器面前。

我见过最典型的文件案例是某小型制造企业，IT管理员图省事，共享把办公室的漏洞共享文件夹设成“Everyone完全控制”，还开着NetBIOS over TCP/IP。主使结果某天早上，协议生产部的文件报价单Excel被加密，屏幕上跳出比特币勒索信。共享事后排查，漏洞攻击者就是主使扫描到445端口开放，用永恒之蓝漏洞直接打穿了系统——整个过程不到十分钟，协议连密码都没猜。

这类问题的根源在于，NetBIOS的会话建立机制信任任何能完成“三次握手”的请求方。它不像现代协议那样要求双向认证，更不会主动验证数据包是否来自内网。Windows为了兼容老应用，默认保留了对NetBIOS的支持，哪怕你用的是最新版Windows 11，只要没手动关掉，系统就还在监听UDP 137、138和TCP 139端口。这些端口就像房子的后门，锁没锁全看住户自觉。

实际渗透测试里，我常拿NetBIOS当突破口。先发一个状态查询请求，目标机器会老老实实回传主机名、用户名、甚至当前登录的域。要是碰上开了文件共享的，直接枚举共享名列表，很多管理员喜欢用“share”“public”“backup”这种直白命名，猜起来毫不费力。更讽刺的是，有些设备防火墙规则允许内网IP访问139端口，但内网一旦有台中了僵尸病毒的笔记本，横向移动就靠这个通道把整个网段翻个底朝天。

关掉NetBIOS是不是就万事大吉？不见得。SMB协议本身还在，445端口照样能承载文件共享。微软后来加了SMB签名和加密，但老版本Windows或第三方设备（比如某些网络打印机）还在用旧协议，这些设备就像混在羊群里的狼——你没法单独给它们打补丁。我处理过一台2012年的扫描仪，固件厂商早停止维护了，它为了共享扫描文件，强制启用SMB 1.0，结果整个内网都因为这个“老古董”暴露在CVE-2017-0144（永恒之蓝的官方编号）的阴影下。

所以问题不在NetBIOS这个名字本身，而是它背后那套“信任内网”的哲学。今天的内网早就不干净了——员工手机连Wi-Fi、访客接网线、IoT设备乱入，边界早已模糊。真正的解法就两条路：要么在网络层彻底封死139/445端口的公网访问，并在内网用VLAN隔离敏感部门；要么干脆停用文件共享，改用带现代认证的云盘或企业网盘。别指望靠用户自觉，人性经不起方便性的诱惑——我见过太多人为了省事，把共享密码设成“123456”，然后理直气壮地说“反正内网没事”。