WebClient 与 WebDAV 通道
WebClient 服务让 Windows 能通过 WebDAV（走 HTTP/HTTPS）访问远程文件，等于在 SMB 之外多出了一条“从 HTTP 拉文件”的路径。攻击者常用它把载荷直接从自己的服务器带进内网执行，也用它做数据外带。服务器与绝大多数终端并不需要这个能力，把服务显式禁用即可收掉这条通道。
基本信息
| 加固项 | WebDAV 客户端收敛 |
|---|---|
| 适用平台 | Windows Server / Windows 10 及以上 |
| 基线取值 | WebClient 服务启动类型为 Disabled |
| 默认状态 | 手动启动（按需拉起） |
| 依赖出口 | 仅需 80/443 出向即可被利用 |
| 风险等级 | 中 |
典型使用场景
- 服务器：无 WebDAV 需求，统一禁用作为基线项
- 办公终端：在没有映射盘与协同办公依赖的前提下禁用
- 事件处置：日志中出现异常的 WebDAV 拉取行为，先关服务再排查
- 攻击链验证：确认禁用后原有的载荷拉取路径不可用
- 新系统交付：写入装机清单，避免新机器回到默认手动状态
核查与禁用
核查与禁用
# 查看当前状态（默认多为 Manual）
Get-Service WebClient | Select-Object Name, Status, StartType
# 停止并改为禁用
Stop-Service WebClient -Force
Set-Service WebClient -StartupType Disabled
# 复核：Start 应为 4
sc.exe qc WebClient
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Services\WebClient' -Name Start启动类型取值读法
| Start 取值 | 含义 | 说明 |
|---|---|---|
| 2 | 自动 | 随系统启动，攻击面常驻 |
| 3 | 手动（默认） | 可被调用时拉起，默认值并不等于安全 |
| 4 | 禁用 | 期望值，无法被拉起 |
默认的“手动”不等于安全：服务以按需方式拉起，攻击者发起请求时就能启动它，必须显式改为禁用。
这里禁用的是客户端组件，与文件服务器对外提供 WebDAV 服务不冲突，两者不要混为一谈。
依赖 WebDAV 映射盘或协同办公组件的业务会受影响，禁用前先盘点实际使用者再动手。
落地检查点
- 确认业务侧没有任何 WebDAV 映射盘或基于 WebDAV 的协同组件
- 服务启动类型改为禁用，并复核 Start 值为 4
- 写入新装机流程，避免新机器回到默认手动状态
- 出向侧保留对异常 HTTP 文件下载行为的观测能力