Início / server / Perguntas / 850735
Accepted
ewwhite
Asked: 2017-05-18 08:05:09 +0800 CST

Remova o filtro WFP do Windows que está bloqueando o tráfego SMB da porta 445 - Server 2008

  • 772

Um cliente está tendo problemas para acessar os compartilhamentos de arquivos de um servidor Windows 2008R2 crítico da maioria de seus sistemas internos. Uma rápida olhada mostra que o firewall do Windows está desativado, mas apenas um pequeno punhado de sistemas pode alcançar o compartilhamento.

Eu tentei as etapas normais de solução de problemas e até passei por recriar adaptadores de rede virtual (VMware) e alterar endereços IP, limpar tabelas mac, ARP etc.

No final, descobri um conjunto de filtros na Windows Filtering Platform (WFP) que bloqueava explicitamente o tráfego de entrada/saída da porta 445. Isso pode ter sido resultado de Malware em algum momento, mas estou procurando uma maneira de excluir esses filtros (por filterID) ou desabilitar totalmente o sistema de filtragem.

Aqui está o que estou vendo: https://pastebin.com/BRhE4sJd

Isso é mesmo possível? Tudo o que vejo online é uma API C++ ...

Trecho:

                <item>
                    <fieldKey>FWPM_CONDITION_IP_LOCAL_PORT</fieldKey>
                    <matchType>FWP_MATCH_EQUAL</matchType>
                    <conditionValue>
                        <type>FWP_UINT16</type>
                        <uint16>445</uint16>
                    </conditionValue>
                </item>
                <item>
                    <fieldKey>FWPM_CONDITION_IP_PROTOCOL</fieldKey>
                    <matchType>FWP_MATCH_EQUAL</matchType>
                    <conditionValue>
                        <type>FWP_UINT8</type>
                        <uint8>6</uint8>
                    </conditionValue>
                </item>
                <item>
                    <fieldKey>FWPM_CONDITION_IP_LOCAL_ADDRESS_TYPE</fieldKey>
                    <matchType>FWP_MATCH_EQUAL</matchType>
                    <conditionValue>
                        <type>FWP_UINT8</type>
                        <uint8>1</uint8>
                    </conditionValue>
                </item>
            </filterCondition>
            <action>
                <type>FWP_ACTION_BLOCK</type>
                <filterType/>
            </action>
windows

1 respostas

  1. Best Answer

    Fomos atingidos por malware minerador Cryptocurrency. Adicionou o bloqueio SMB TCP 445 no Windows Filtering Platform (WFP).

    Execute os comandos abaixo para listar políticas e listas de filtros:

    netsh ipsec static show filterlist all
netsh ipsec static show policy all

    Execute-os para excluí-los:

    netsh ipsec static delete policy all
netsh ipsec static delete filterlist all
    • 1

relate perguntas