需封堵135、137、138、139端口以防范勒索病毒，须在Windows 10防火墙中分别创建TCP/UDP协议的入站与出站封锁规则，并确保防火墙服务开启且规则启用。
为防止勒索病毒利用NetBIOS和RPC协议漏洞发起攻击，需在Windows 10防火墙高级设置中精准封堵135、137、138、139这四个高危端口，操作必须覆盖入站与出站双向规则，否则仍可能被绕过。
创建入站封锁规则
点击开始→设置→更新和安全→Windows安全中心→防火墙和网络保护→右侧“高级设置”（需管理员权限）。
在左侧导航栏点击“入站规则”，右侧点击“新建规则”。选择“端口”，点击下一步。
选择“TCP”，在“特定本地端口”框中输入【135,137,138,139】（逗号必须为英文半角，不可用中文顿号或空格分隔）→点击下一步。
选择“阻止连接”→下一步→下一步→在“名称”栏输入“封堵NetBIOS+RPC入站端口”→完成。
重复上述流程，但这次选择“UDP”协议，同样填入135,137,138,139→名称改为“封堵NetBIOS+RPC入站UDP端口”→完成。注意：137/138端口在UDP层面更活跃，漏掉UDP规则等于白设。
创建出站封锁规则
回到“高级设置”主界面，左侧点击“出站规则”，右侧点击“新建规则”。
方法一：逐个端口配置（推荐，便于后期单独启用某端口）
先新建一条TCP规则，只填“135”→命名为“阻断135出站TCP”；
再新建一条UDP规则，只填“137”→命名为“阻断137出站UDP”；
依此类推，为138（UDP）、139（TCP）各建独立规则，共4条。每条都选“阻止连接”，不勾选“对远程计算机应用此规则”。
方法二：批量配置（快捷但灵活性低）
新建TCP规则，填入135,137,138,139→命名为“封堵NetBIOS+RPC出站TCP”；
再新建UDP规则，同样填入135,137,138,139→命名为“封堵NetBIOS+RPC出站UDP”。
【务必确认防火墙服务处于开启状态】：若“Windows Defender 防火墙”本身被关闭，所有规则均不生效。可在“控制面板→系统和安全→Windows Defender 防火墙”中确认状态。
验证规则是否生效
第一步：在“入站规则”列表中，找到刚创建的两条规则（TCP/UDP），确认其“启用”列显示为“是”。
第二步：右键任一规则→属性→切换到“协议和端口”选项卡→检查“本地端口”字段是否精确显示为“135,137,138,139”，且协议类型与设定一致。
第三步：打开命令提示符（管理员），执行：
netsh advfirewall firewall show rule name="封堵NetBIOS+RPC入站端口"
若返回结果中包含“Operational Mode: Enabled”和“Direction: In”即表示该规则已加载运行。
