去年年底帮一个朋友看服务器，端口大全他用的漏洞是某国产面板，图省事没改默认端口。端口大全我扫了一遍，漏洞22、端口大全3306、漏洞6379全开着，端口大全Redis连密码都没设。漏洞当时我就跟他说，端口大全你这台机器在互联网上跟裸奔没区别。漏洞三天后他找我，端口大全说服务器被人挖矿了。漏洞这事不新鲜，端口大全但每次遇到都让人觉得可惜——很多入侵根本不需要什么高级技术，漏洞纯粹是端口大全端口和配置问题。

先从最常见的说起。SSH的22端口，几乎每台Linux服务器都开着。有人觉得改个端口就安全了，其实扫描器全端口扫一遍也就几分钟的事。真正要命的是弱密码和允许root直接登录。我见过一台机器，root密码是“admin123”，被爆破成功到植入后门只用了不到两小时。PermitRootLogin no、PasswordAuthentication no，这两条改完能挡掉九成以上的自动化攻击。

MySQL的3306。默认监听127.0.0.1本来没事，但很多人为了远程管理，直接改成0.0.0.0。更糟的是root用户允许从任意主机连接，密码还设得随意。2019年有个批量扫描事件，专门找3306端口，用几个常见弱口令字典跑，一天之内拿下了上万台数据库。数据被清空，留下一个比特币地址要赎金。我自己的做法是：数据库绝不暴露公网，需要远程就连VPN或者SSH隧道，多花两分钟，省掉一堆麻烦。

Redis的6379，这个端口出的事最多。Redis默认没有密码，而且支持写文件。攻击者连上之后，可以往你的crontab或者authorized_keys里写东西，直接拿到服务器权限。有个案例是攻击者把Redis的持久化目录设成/root/.ssh/，然后写入自己的公钥，整个过程不到十秒。修复方法也简单：bind 127.0.0.1、requirepass设个强密码、rename-command把CONFIG和FLUSHALL这类危险命令改掉或者禁用。但很多人装完Redis就直接用，什么都不改。

还有几个容易被忽略的。比如Docker的2375端口，开了之后等于把宿主机root权限送出去。Elasticsearch的9200，早期版本没有认证，数据随便读。MongoDB的27017，同样默认无认证，2017年那次大规模勒索事件就是冲着它去的。Tomcat的8080管理后台，弱口令进去就能部署war包拿shell。这些服务的共同点是：默认配置面向开发环境，但很多人直接搬到了生产环境。

端口漏洞的本质不是端口本身有问题，而是端口背后的服务配置太宽松。扫描器不关心你跑的是什么业务，它只看哪个端口开着、返回什么banner、能不能用默认口令进去。我自己的习惯是：新机器上线前先本地nmap扫一遍，确认只开必要的端口；所有对外服务强制认证；能走内网就走内网。听起来麻烦，但比事后清理挖矿程序简单得多。

最后说个真实的细节。有次我扫自己的测试机，发现8080端口返回了一个Jenkins的登录页面。我根本没装过Jenkins。查了半天，是之前某个Docker容器映射出来的，早就不用了但容器还在跑。这种事很常见——你以为关掉的服务，其实还在某个角落开着。端口管理不是一次性的活，得定期扫、定期清。别等服务器变成别人的矿机才想起来看。