一台打印机被入侵，网络整个内网跟着遭殃。打印去年某设计公司就栽在这上面——办公区那台惠普激光打印机被扫描到开放了FTP端口，机f解决攻击者通过默认口令上传了一个恶意脚本，漏洞三天后财务部门的网络共享盘被加密。打印机漏洞这事，打印比大多数人想的机f解决要严重得多。

FTP漏洞怎么来的漏洞？很多网络打印机为了方便用户扫描文件到共享目录，内置了FTP服务。网络问题在于，打印这些服务往往跑着老掉牙的机f解决版本，配置也粗糙得吓人。漏洞我见过一台兄弟牌打印机，网络FTP匿名登录直接开着，打印谁都能往里头塞文件。机f解决更离谱的是，有些型号的固件里硬编码了管理员密码，网上随便一搜就能找到。厂商觉得打印机就是个外设，安全投入少得可怜，结果它成了内网里最软的柿子。

先别急着去关FTP服务。你得先摸清楚自己网络里到底有多少台打印机在跑FTP。用nmap扫一遍局域网，命令很简单：nmap -p 21 --open 192.168.1.0/24。扫出来的结果会让你吃惊——可能比你以为的多出好几台。把IP和MAC地址记下来，对照交换机里的ARP表，搞清楚每台机器在哪个工位。这一步偷懒，后面全是坑。

确认了目标，接下来分两种情况处理。如果这台打印机根本不需要扫描到FTP的功能，直接进管理后台把FTP服务关了。管理后台地址通常是打印机IP，登录口令如果还是默认的，先改掉。别用admin/admin这种组合，也别用打印机型号当密码。我见过最离谱的密码是12345678，攻击者连爆破都省了。

要是业务上确实需要FTP传扫描件，那就得把它关进笼子里。第一，把匿名访问彻底禁掉，建一个专用账户，权限只给到扫描目录，别碰系统盘。第二，在交换机上做ACL，只允许特定几台电脑的IP访问打印机的21端口，其他一律拒绝。第三，如果打印机支持SFTP或者FTPS，赶紧换过去。明文传输的FTP在现在这个环境里，跟裸奔没区别。

固件升级这事容易被忽略。厂商偶尔会发安全补丁，修复FTP服务里的溢出漏洞或者后门。去官网下载对应型号的最新固件，通过管理界面上传更新。升级前记得备份配置，不然恢复起来麻烦。我遇到过升级后扫描功能失效的情况，折腾了半天才发现是配置文件不兼容。

还有个野路子——把打印机划到独立的VLAN里。办公网和打印网隔开，就算打印机被攻破，攻击者也跳不到核心业务区。这招对老旧打印机特别管用，反正它们也不支持什么高级安全功能，物理隔离最省心。配置VLAN需要在交换机上动手，不懂网络的话找个懂行的帮忙，别自己瞎折腾把整个办公网搞瘫了。

日常监控也得跟上。在日志服务器里设个规则，一旦发现打印机FTP端口有异常登录尝试，立刻告警。很多入侵都是从暴力破解开始的，早发现早掐断。别指望打印机自己报警，它连个像样的日志界面都没有。

说句实在话，打印机安全这事，厂商不上心，只能靠自己。别把它当成普通外设，它是一台跑着操作系统的网络设备，该有的安全措施一样不能少。下次采购打印机的时候，把安全功能列入评估项——支持SFTP、能关FTP、有固件更新机制的型号，优先考虑。省那几百块钱，后面可能赔进去几万块的数据恢复费用。