网站端口扫描

凌晨两点，网站我盯着终端里滚动的端口绿色字符，第37次扫描同一个IP段。扫描这不是网站电影里的黑客戏码，对面只是端口台配置错误的打印机服务器——但端口21还开着，FTP匿名登录居然允许写入。扫描这让我想起上周帮朋友排查的网站“灵异”网站故障，首页被篡改成猫图片，端口数据库里多了几千条垃圾评论。扫描罪魁祸首就是网站暴露的3306端口，密码还是端口admin。

端口扫描本质上是扫描敲门。每个网站都像一栋楼，网站80端口是端口大门，443是扫描装了监控的侧门，22是员工通道，3306是没锁的后勤仓库。扫描器就是挨个敲门的推销员，有的门会应声而开，有的门沉默不语，但沉默不代表安全——有些门只是假装没人，等你转身就朝你扔砖头。

有意思的是，大多数网站管理员对自己的“门”一无所知。我见过电商平台开了6379端口，Redis未授权访问，黑客直接往缓存里塞了挖矿脚本。也见过政府网站开着3389远程桌面，密码是生日组合。这些不是技术难题，是懒惰。扫描工具Nmap、Masscan都是免费开源的，跑一次全端口扫描用不了十分钟，但很多人宁愿每天花三小时看监控日志，也不肯提前花十分钟堵住漏洞。

扫描也有技术流派之分。老派喜欢全连接扫描，像挨家挨户按门铃，简单直接但容易被发现。新派用SYN半开扫描，只敲门不握手，像小偷试探锁芯，目标主机以为只是网络抖动。更狡猾的是空闲扫描，借一台“僵尸”主机当跳板，让目标以为攻击来自第三方——这招在渗透测试里很常见，但用在合法授权范围外就是违法。

我自己的服务器每周自动扫一次，扫完直接看报告，高危端口当天处理。有次发现22端口被暴力破解尝试三千多次，果断改成密钥登录，再关掉密码认证。别觉得麻烦，被攻破一次的成本远高于这些操作。

扫描工具本身没有善恶，像菜刀可以切菜也能伤人。关键是你拿它干什么。合法的安全测试需要书面授权，乱扫别人服务器可能触犯《网络安全法》。去年有个学生扫了学校教务系统，查到自己成绩数据库的漏洞，虽然没改数据，但还是被记过处分——技术能力不等于可以为所欲为。

最后说个实在的：如果你管理网站，先扫一遍自己的端口，重点看21、22、23、3389、3306、6379、27017这些常用端口是否暴露在公网。关闭不必要的服务，改掉默认端口，换强密码。这比装任何昂贵防火墙都管用。端口扫描不是高深魔法，它就是一次主动体检——发现问题越早，解决问题越便宜。