NetBIOS是IBM与Sytek于1983年专为早期局域网打造的协议与接口，堪称局域组网“元老”，早期TCP/IP未普及，它无需依赖IP，仅用15字符内的专属名称，就能让计算机、打印机等设备识别寻址，支持经典Windows系统的文件/打印共享、简单跨设备进程通信。，但如今它因加密薄弱、历史漏洞多，易被攻击者用来枚举内网资产、窃取凭证，核心功能已被淘汰，仅Windows默认保留兼容模块，需及时评估并关闭或加固。
在计算机网络发展的长河中,有些技术曾是搭建局域网的“基石”，却随着时代变迁逐渐淡出主流视野，甚至成为网络安全的“隐形雷区”——NetBIOS就是其中之一，从20世纪80年代的局域网通信核心，到如今被频繁利用的攻击载体，NetBIOS的故事折射出网络技术发展与安全防护的博弈。
什么是NetBIOS？
NetBIOS的全称是Network Basic Input/Output System（网络基本输入/输出系统），由IBM于1983年开发，最初是为了让小型局域网（LAN）内的计算机能够简单、高效地通信，它本质上是一套应用程序接口（API），而非独立的网络协议，主要为上层应用（如文件共享、打印机共享）提供网络通信支持。
NetBIOS的核心功能包括三个部分：
- 命名服务：为局域网内的计算机分配唯一的“NetBIOS名称”（最多15个字符），让设备能通过“名字”而非IP地址互相识别；
- 会话服务：建立可靠的双向连接，用于传输需要确保完整性的数据（如文件传输）；
- 数据报服务：提供无连接的传输方式，适合发送广播消息或小量数据。
从局域网到TCP/IP：NetBIOS的“变身”
早期的NetBIOS依赖NetBEUI协议（NetBIOS Extended User Interface）工作，但NetBEUI有个致命缺陷——无法跨网段通信，随着互联网和大型企业网络的兴起，这一局限性越来越明显。
为了解决这个问题,业界推出了NetBIOS over TCP/IP（简称NBT），将NetBIOS的功能“嫁接”到TCP/IP协议上，通过NBT，NetBIOS可以利用TCP的139端口（会话服务）和UDP的137、138端口（命名和数据报服务），实现跨网段甚至跨互联网的通信，这一改造让NetBIOS在Windows 95/98、Windows NT等早期系统中大放异彩，成为Windows文件共享（SMB协议）的底层支撑之一。
现代网络中的“遗留风险”
随着DNS（域名系统）的普及和SMBv3等现代协议的发展，NetBIOS的核心功能已被逐步替代——DNS能更高效地完成名称解析，SMBv3也不再依赖NetBIOS就能工作，但尴尬的是，Windows系统至今仍默认启用NetBIOS over TCP/IP，这使得这个“老将”成了网络安全的薄弱环节。
常见的NetBIOS安全隐患包括：
- 名称欺骗：攻击者可以伪造NetBIOS名称，冒充合法服务器或打印机，诱导用户连接并窃取数据；
- 信息泄露：通过向137端口发送查询请求，攻击者能获取目标网络的计算机名、用户名、MAC地址等敏感信息；
- SMB中继攻击：结合NetBIOS的名称解析，攻击者可以拦截用户的SMB认证请求并中继到目标服务器，实现未授权访问（如著名的“Pass-the-Hash”攻击常以此为铺垫）；
- 端口暴露风险：137、138、139端口的开放，相当于给攻击者留下了“可乘之门”，易被用于扫描和入侵。
如何防护NetBIOS带来的风险？
既然NetBIOS的实用性已大幅下降,限制或禁用它是降低风险的关键，以下是几个实用的防护建议：
- 禁用不必要的NetBIOS over TCP/IP：在Windows系统的网络适配器设置中，可手动关闭“NetBIOS over TCP/IP”选项（现代网络环境中，DNS通常已能满足需求）；
- 封锁相关端口：通过防火墙阻止外部访问137（UDP）、138（UDP）、139（TCP）端口，仅在内部必要的网段开放；
- 使用现代协议替代：优先采用SMBv3（Windows Vista及以上系统支持），并禁用SMBv1等老旧协议；
- 加强网络监控：通过入侵检测系统（IDS）监控NetBIOS端口的异常流量，及时发现扫描或攻击行为。
NetBIOS曾是局域网发展的重要推手,见证了计算机网络从“小圈子”到“全球化”的历程，但在安全威胁日益复杂的今天，它的“ legacy（遗留）”属性远超实用性，对待NetBIOS，我们无需全盘否定，但必须清醒地认识其风险——通过合理的配置和防护，让这个“元老”不再成为网络安全的短板。
或许,这就是技术发展的常态：有些功能会退出舞台，但它留下的经验和教训，会成为我们构建更安全网络的基石。