常见端口

22端口开着，常见端口SSH服务在跑。常见端口这事我见过太多次了——一台云服务器，常见端口防火墙没配好，常见端口root密码设成123456，常见端口第二天就被挖矿脚本占了CPU。常见端口端口不是常见端口玄学，它就是常见端口一扇门，门后站着什么服务，常见端口决定了你能闯多大的常见端口祸。

网络通信里，常见端口端口号用16位表示，常见端口范围0到65535。常见端口0到1023是常见端口系统端口，绑这些号需要root权限。常见端口1024到49151是注册端口，常见服务都在这。49152往后是动态端口，客户端临时用。记住这个分层，排查问题时能省一半时间。

那些你迟早会撞上的端口

21和22。FTP和SSH。FTP现在基本被SFTP取代了，但老设备上还能看到。22端口是运维的命根子，也是攻击者的第一目标。我自己的做法：改默认端口没用，扫描器照样找得到，关键是禁用密码登录，只留密钥。

80和443。HTTP和HTTPS。这俩太熟了，不展开。一个细节：443端口跑的不一定是HTTPS，也可能是OpenVPN或者其他TLS封装的服务。用openssl s_client -connect host:443能看到证书信息，比瞎猜快。

3306和5432。MySQL和PostgreSQL。数据库端口暴露公网等于裸奔。我见过一个案例，某创业公司把3306映射到公网，密码是公司名字加年份，结果被勒索比特币。数据库只监听127.0.0.1，需要远程就走SSH隧道，这是底线。

6379。Redis。默认无密码，默认绑定0.0.0.0。这两个默认值凑一起就是灾难。2018年前后大量Redis实例被写入SSH公钥，攻击者直接拿到服务器权限。现在新版本默认绑127.0.0.1了，但老系统升级慢，扫6379的僵尸网络从来没停过。

27017。MongoDB。同样的故事。早期版本默认无认证，公网暴露的实例被批量删除数据，留下勒索信。后来官方改了默认配置，但互联网上仍然躺着几十万个没改配置的MongoDB。

端口扫描这件事

nmap是最常用的工具。nmap -sT -p 1-1000 目标IP做TCP连接扫描，-sS做SYN半开扫描，后者更快更隐蔽。扫内网用-sn做主机发现，不扫端口。实际工作中，我习惯先nmap -sS -p- --min-rate 5000全端口快扫，再对开放端口做版本探测-sV。慢工出细活，但快扫能先画出轮廓。

有个坑：防火墙可能丢弃包而不是拒绝，nmap会显示filtered。这时候换-Pn跳过主机发现，或者用-sA做ACK扫描判断防火墙规则。工具是死的，网络环境是活的。

几个容易忽略的

161/162。SNMP。默认community string是public，能读到大量设备信息。很多打印机、交换机开着这个，信息泄露的起点。

389和636。LDAP和LDAPS。域环境里常见，配置不当会泄露用户列表。

1433。SQL Server。和3306一样，不该出现在公网。

5900。VNC。远程桌面，很多版本认证薄弱，暴力破解几分钟的事。

端口本身没有好坏，它只是编号。危险的是默认配置、弱密码、以及“先跑起来再说”的心态。每次看到一台新服务器，我第一件事是ss -tlnp看监听状态，第二件事是对照防火墙规则删掉不需要的。这个习惯救过我很多次。

最后说个观察：云厂商的安全组默认拒绝入站，这是好事。但很多人图省事直接开0.0.0.0/0全放行，等于把安全组当摆设。端口管理不是配一次就完事，服务下线了端口还开着，这种遗留问题在老旧系统里一抓一大把。定期扫自己，比等着别人来扫你强。