Windows服务器如果不做安全加固，默认状态下允许任何人通过匿名方式枚举用户名、共享资源、组信息等敏感数据，这是一个非常危险的安全漏洞。解决这个问题最直接有效的方法就是通过本地安全策略（Local Security Policy）或组策略（Group Policy）禁用匿名枚举功能，具体操作包括关闭"网络访问：不允许SAM账户和共享的匿名枚举"以及"网络访问：不允许存储网络身份验证的凭据和.NET Passport"等策略项。下面我会把每一步操作、每个策略的含义、为什么要这样做、以及还有哪些配套措施全部讲清楚。

什么是匿名枚举，为什么它很危险

匿名枚举是指未经过身份验证的用户，通过网络协议（主要是SMB、RPC、NetBIOS等）向Windows服务器发起查询请求，获取服务器上的用户账户列表、组信息、共享文件夹名称、密码策略等敏感信息。攻击者利用这些信息可以进行精准的暴力破解、社会工程攻击，甚至直接找到高权限账户进行定向攻击。在渗透测试中，匿名枚举往往是攻击链的第一步，一旦信息泄露，后续攻击的成功率会大幅提升。

Windows Server默认开启了部分匿名访问权限，这在早期网络环境中是为了方便共享和管理，但在当今网络安全形势下，这种默认配置已经成为重大风险点。尤其是暴露在公网或半信任网络中的服务器，匿名枚举几乎等同于把门牌号和住户名单贴在大门上。

通过本地安全策略禁用匿名枚举的具体步骤

第一步，打开本地安全策略。按下Win+R键，输入secpol.msc回车，或者在开始菜单搜索"本地安全策略"即可打开。如果是域环境，需要通过组策略管理器（gpmc.msc）编辑对应的GPO。

第二步，导航到以下路径：本地策略 → 安全选项（Security Settings → Local Policies → Security Options）。在右侧列表中找到以下关键策略项并逐一配置。

核心策略一：网络访问：不允许SAM账户和共享的匿名枚举

这个策略对应的英文名称是"Network access: Do not allow anonymous enumeration of SAM accounts and shares"。将其设置为"已启用"（Enabled）。启用后，匿名用户无法通过空会话（Null Session）获取SAM数据库中的用户和组信息，也无法枚举共享资源。这是最关键的一条策略，必须开启。

核心策略二：网络访问：不允许存储网络身份验证的凭据和.NET Passport

英文名称为"Network access: Do not store credentials and .NET Passport for network authentication"。设置为"已启用"。这条策略防止系统在内存中缓存匿名用户的凭据信息，避免凭据被后续利用。虽然它不直接阻止枚举，但能有效降低枚举后被利用的风险。

核心策略三：网络访问：将Everyone权限应用于匿名用户

英文名称为"Network access: Let Everyone permissions apply to anonymous users"。将其设置为"已禁用"（Disabled）。默认情况下，Windows会将Everyone组的部分权限赋予匿名用户，禁用后可以彻底切断匿名访问的权限通道。

核心策略四：网络访问：可匿名访问的共享

英文名称为"Network access: Shares that can be accessed anonymously"。将此项设置为空，即删除所有默认的匿名共享名称。如果你的服务器不需要任何匿名共享，直接清空这个列表即可。如果确实有必须匿名访问的共享（极少情况），也要谨慎评估风险。

核心策略五：网络访问：可匿名访问的命名管道

英文名称为"Network access: Named Pipes that can be accessed anonymously"。同样设置为空，删除所有条目。命名管道是RPC通信的重要通道，匿名访问命名管道可能导致信息泄露甚至远程代码执行。

通过注册表方式批量配置（适合脚本化部署）

如果你需要在多台服务器上快速部署，可以通过注册表直接修改。以下是对应的注册表路径和值：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
"RestrictAnonymousSAM"=dword:00000001

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
"RestrictAnonymous"=dword:00000001

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
"NoLMHash"=dword:00000001

其中RestrictAnonymousSAM对应策略一，RestrictAnonymous对应策略三，NoLMHash用于禁用LM哈希存储。修改后需要重启服务器才能生效。建议在修改前先导出当前注册表备份，防止配置错误导致系统异常。

配套措施：禁用不必要的服务和关闭危险端口

仅仅通过本地安全策略还不够，还需要从系统层面做进一步加固。首先，关闭Server服务中不需要的共享。打开services.msc，找到Server服务，确认其启动类型为自动但不要开放不必要的端口。其次，通过Windows防火墙规则限制445端口（SMB）和139端口（NetBIOS）的访问范围，只允许信任的IP地址访问。

可以用以下PowerShell命令快速查看当前开放的SMB相关端口：

Get-NetTCPConnection -LocalPort 445,139 -State Listen

如果你的服务器不需要文件共享功能，可以直接禁用Server服务和Workstation服务，从根本上消除SMB攻击面。

配套措施：强化账户策略和密码策略

即使禁用了匿名枚举，如果账户密码过于简单，攻击者仍可能通过其他途径获取凭据后进行暴力破解。建议在本地安全策略的"账户策略"中做以下配置：账户锁定阈值设为5次尝试后锁定30分钟；密码最短长度设为12位以上；密码必须符合复杂性要求；强制密码历史记录设为24次以上。这些策略能大幅提高暴力破解的难度。

配套措施：启用审核策略追踪异常访问

在"本地策略 → 审核策略"中，启用以下审核项：审核登录事件（成功和失败都要）、审核账户管理、审核策略更改、审核对象访问。这样一旦有人尝试匿名访问或暴力破解，系统会记录详细日志，方便事后追溯和分析。日志可以在事件查看器（eventvwr.msc）的安全日志中查看，事件ID 4625表示登录失败，4648表示使用显式凭据登录。

域环境下的特殊注意事项

如果你的Windows服务器加入了Active Directory域，上述本地策略可能被域组策略覆盖。此时需要在域控制器上通过组策略管理控制台（GPMC）创建专门的OU策略，确保这些安全设置在域级别生效。同时要注意，域环境中还需要关注"域成员：数字加密或签名安全通道数据（始终）"等策略，确保域内通信也是加密的。

另外，域环境下还要检查是否存在过度宽松的匿名SID枚举权限。可以通过以下命令检测：

net use \\目标服务器\IPC$ /delete
net use \\目标服务器\IPC$ "" /user:""

如果能够建立空连接，说明匿名枚举仍然存在，需要重新检查策略配置。

验证配置是否生效的方法

配置完成后，需要验证策略是否真正生效。可以使用以下几种方法：第一，从另一台机器尝试匿名枚举，使用枚举工具如enum4linux（Linux端）或PowerView（Windows端PowerShell模块）进行测试，如果返回空结果或拒绝访问，说明配置成功。第二，检查事件日志中是否出现大量4625事件，如果有，说明有人在尝试匿名访问但被阻止。第三，使用Microsoft Baseline Security Analyzer（MBSA）或第三方漏洞扫描工具对服务器进行全面扫描，确认没有匿名枚举相关的高危漏洞。

常见问题和排错指南

有些管理员反馈配置策略后仍然可以枚举，通常有以下几个原因：一是策略没有正确应用，需要运行gpupdate /force强制刷新组策略；二是注册表值没有正确写入，需要确认是64位系统还是32位系统，对应的注册表路径可能有差异；三是防火墙规则没有同步调整，导致虽然策略禁用了但端口仍然开放；四是某些第三方软件或远程管理工具可能绕过了本地策略，需要逐一排查。遇到问题时，建议先用secedit /export导出当前安全配置，对比预期值逐一排查。

总结与建议

禁用Windows服务器的匿名枚举是基础安全加固中最重要的环节之一，操作本身并不复杂，但需要系统性地执行。核心就是通过本地安全策略关闭匿名SAM枚举、匿名凭据存储、匿名共享和匿名命名管道这几个关键项，再配合防火墙规则、账户策略、审核策略形成完整的防护体系。建议所有Windows Server管理员将此作为服务器上线前的必做项，定期通过扫描工具复查，确保安全配置持续有效。安全不是一次性的工作，而是需要持续维护和监控的过程。