凌晨两点十七分，端口入侵我盯着屏幕上跳动的端口入侵日志，一条来自保加利亚的端口入侵IP正在反复尝试连接本机的21端口。FTP服务开着，端口入侵匿名访问没关，端口入侵密码是端口入侵弱口令——这几乎是在邀请全世界的脚本小子进来坐坐。

很多人不知道21端口是端口入侵干什么的。它就像一扇老式公寓楼的端口入侵后门，专门给文件传输协议（FTP）留的端口入侵。上世纪七十年代设计的端口入侵玩意儿，那时候没人琢磨加密，端口入侵没人考虑权限分级，端口入侵数据在网络上跑得跟明信片似的端口入侵，谁捡到都能读。端口入侵现在你打开Shodan搜一下，端口入侵全球暴露在公网的FTP服务超过两千万台。这个数字我三年前查的时候是一千四百万。涨得不算快，但基数够吓人。

去年帮一个做外贸的朋友看服务器。他图省事，让外包公司搭了个FTP用来给客户传样品图。我扫了一眼，vsftpd 2.3.4——这个版本有个著名的笑脸后门，2011年就爆出来了。攻击者只要在用户名末尾加个“:)”，就能直接拿到root shell。我问他多久没更新了，他说“能用就行”。那天晚上我帮他换成了SFTP，走SSH通道，端口改到22022，禁了匿名登录。前后不到二十分钟。他后来请我吃了顿烧烤，说省了请安全公司的钱。

但大多数人没这么幸运。2015年有个叫“FTP爆破”的僵尸网络，专门扫21端口，用字典跑弱口令。字典不大，就几千条，admin/admin、root/123456、ftp/ftp这类。跑完一轮大概四十分钟，能撞开全球几万台机器。撞开之后干什么？种挖矿木马、当跳板、存儿童色情内容——最后这条最恶心，警察找上门的时候服务器主人还蒙在鼓里。

我自己的做法比较粗暴。公网服务器一律不装FTP。真要传文件，用scp或者rsync走SSH。内网测试机偶尔开一下，绑127.0.0.1，只允许本地连。防火墙规则写死：21端口只对特定IP段开放，其他全drop。有人嫌麻烦，说“我就传个文件至于吗”。至于。你永远不知道凌晨两点十七分有多少个保加利亚IP在敲你的门。

说个真事。某高校机房管理员为了让学生交作业方便，在公网服务器上开了FTP，匿名可写。结果一学期后硬盘满了，上去一看，存了四百多G的盗版电影和游戏。学生传的？不全是。大部分来自校外IP，顺着21端口爬进来的。管理员被通报批评，FTP关了，作业改用网盘交。网盘也不安全，但至少不用他背锅。

21端口本身没罪。有罪的是“默认配置”这四个字。默认开匿名、默认弱口令、默认不加密、默认不更新。攻击者最喜欢默认。你改一个端口号，能挡掉八成扫描器。你加个fail2ban，能挡掉九成爆破。你换成SFTP，基本就没人理你了。成本很低，低到只需要你花十分钟读一遍配置文件。

现在那台被保加利亚IP盯上的机器已经关了FTP。日志里最后一条记录停在凌晨三点零四分，尝试了四百多次之后放弃。我留着那条日志没删，当个提醒。下次再有人跟我说“21端口无所谓”，我就把这段贴给他看。