内容摘要：勒索病毒攻击根本不在乎“哪个端口”——它更像一个不挑门的贼。但如果你非要问最常被利用的入口，答案集中在两个数字上：445和3389。 445端口是SMB协议的默认通道，专门负责Windows环境下的文

勒索病毒攻击根本不在乎“哪个端口”——它更像一个不挑门的勒索贼。但如果你非要问最常被利用的病毒入口，答案集中在两个数字上：445和3389。攻击

445端口是主基SMB协议的默认通道，专门负责Windows环境下的端口文件共享和打印机服务。2017年WannaCry全球爆发，勒索靠的病毒就是这个端口。它当时利用的攻击“永恒之蓝”漏洞，让病毒像瘟疫一样在局域网内横向传播——你甚至不需要点开任何文件，主基只要电脑连着网线，端口开着445端口，勒索几秒钟就能被加密。病毒这不是攻击危言耸听，我亲眼见过一家工厂的主基监控系统全部瘫痪，屏幕上跳着红色勒索信，端口而源头只是一台没打补丁的老旧服务器。

3389端口则是远程桌面协议（RDP）的入口。黑客用扫描工具全网扫这个端口，找到暴露在公网上的Windows机器，然后暴力破解密码。一旦得手，勒索病毒就被手动上传、执行。这种情况在中小企业里特别常见——很多老板为了图省事，直接把办公电脑的远程桌面映射到公网，密码还设成“admin123”。去年某地一家物流公司被勒索，黑客就是从3389端口进来的，破解密码只花了不到十分钟，因为他们的密码是“123456”。

但这里有个反直觉的事实：勒索病毒并不执着于特定端口。更准确地说，它先通过钓鱼邮件、恶意附件、或者软件供应链攻击进入你的内网，然后才利用445端口横向扩散。换句话说，445是它“炸开房间门”的工具，而真正进门的钥匙往往是你自己交出去的——比如点开一封伪装成发票的邮件附件。

还有个容易被忽略的端口是1433（SQL Server数据库）和3306（MySQL）。黑客会扫描这些数据库端口，尝试弱口令，拖走数据后直接加密。前阵子有家做跨境电商的小公司，数据库被勒索，黑客还威胁不交钱就把客户信息公开。他们的数据库端口直接暴露在公网，密码是“root”。

所以，别再把注意力全放在“封哪个端口”上。真正有效的做法是：关闭不用的445和3389，如果必须用，就改成非标准端口并启用VPN，数据库端口一律禁止公网访问。同时，打补丁比装杀毒软件更重要——WannaCry的漏洞微软在2017年3月就修复了，可很多电脑到5月都没更新。

说到底，勒索病毒的成功不是因为它选对了端口，而是因为你留下了太多敞开的门。端口只是表象，安全意识才是那道真正的锁。