应立即禁用445端口以防范WannaCry等勒索病毒自动入侵，可通过Windows防火墙新建入站阻止规则、管理员命令行一键封禁或停用SMB服务组件三种方式实现。

黑客能通过445端口在你开机联网的瞬间植入WannaCry等勒索病毒，根本不需要你点开任何文件或链接，只要该端口开着且系统未打补丁，攻击就会自动完成——这是2017年全球高校毕业论文被批量加密的直接原因，也是今天仍在内网蔓延的永恒之石病毒的入口。

用Windows防火墙新建入站阻止规则（推荐给所有用户）

第一步：按 Win+R 打开运行框，输入 wf.msc 回车，直接进入高级安全防火墙界面。

第二步：左侧点击“入站规则”→右侧点击“新建规则…”→选择“端口”→点击“下一步”。

第三步：选中“TCP”，在“特定本地端口”栏输入 445，继续点“下一步”。

第四步：选择“阻止连接”，这一步不能选“允许连接”或“允许连接如果已通过身份验证”，否则规则形同虚设。

第五步：勾选“域”“专用”“公用”全部三个配置文件，确保无论连公司网、家用Wi-Fi还是咖啡厅热点都生效；最后命名为“禁用SMBv1/445端口”即可完成。

用管理员命令行一键封禁（适合习惯终端操作的用户）

方法一：以管理员身份运行CMD或PowerShell，依次执行以下两条命令：

netsh advfirewall set allprofile state on

netsh advfirewall firewall add rule name="Block_445_TCP" dir=in action=block protocol=TCP localport=445

执行后若显示“确定”，说明规则已写入。这条命令比图形界面更快，且不会因组策略缓存延迟而失效。

方法二（仅限Win10/11专业版或企业版）：在管理员PowerShell中运行：

New-NetFirewallRule -DisplayName "Disable SMB over TCP 445" -Direction Inbound -Protocol TCP -LocalPort 445 -Action Block -Profile Any

注意：不要在家庭版系统上尝试此命令，因缺少NetFirewall模块会报错中断，返回CMD方案即可。

停用SMB服务组件（彻底断根，但会丢失局域网共享功能）

如果你从不使用打印机共享、不访问NAS或同事电脑的共享文件夹，这一步最干净。

按 Win+R 输入 services.msc 回车，找到三项服务：Server、Workstation、Function Discovery Provider Host。

双击“Server”→启动类型改为“禁用”→点击“停止”按钮→确认服务状态变为“已停止”。

同样操作处理“Workstation”服务（它是SMB客户端基础，关掉后你也不能访问别人共享的文件夹）。

Function Discovery Provider Host可不关，它只影响网络设备自动发现，与445端口无直接通信关系。

重启电脑后，再运行 netstat -an | findstr :445，屏幕上将不再出现任何含“LISTENING”或“ESTABLISHED”的445端口记录。