一台云服务器的扫描公网IP暴露在互联网上，不到十分钟就会收到第一波扫描请求。云服这不是扫描夸张，是云服我在腾讯云控制台看到的安全告警记录。那些扫描源来自全球各地，扫描俄罗斯、云服美国、扫描巴西，云服甚至还有来自南极科考站的扫描IP——鬼知道那是真的科考站还是伪装节点。

所以当我需要评估自己云服务器的云服暴露面时，nmap成了首选工具。扫描别被它的云服命令行界面吓到，本质上它就是扫描个“网络探照灯”，发几个数据包出去，云服看对方怎么回应，扫描就能推断出开放了哪些端口、运行着什么服务。

拿我手上这台阿里云ECS举例。部署完一个测试环境后，我执行了最基础的TCP SYN扫描：

nmap -sS -p- -T4 47.98.xx.xx

-sS表示半开扫描，只发SYN包不建立完整连接，速度快且相对隐蔽。-p-扫全部65535个端口，-T4是激进的时间模板。结果出来那一刻我有点意外——除了预想的22和80端口，还开着3306。MySQL端口居然暴露在公网上。我明明记得配置安全组时只放行了22和80，但显然某次调试时手滑加了一条0.0.0.0/0的规则。

这就是云服务器和物理服务器的区别：安全组是虚拟防火墙，规则配置错了可以秒级修复，但也因为太容易修改，反而容易留下比物理防火墙更愚蠢的漏洞。物理防火墙你还会慎重地写ACL，安全组点几下鼠标就完事，出错的概率反而更高。

接着我用版本探测看细节：

nmap -sV -p 22,80,3306 47.98.xx.xx

结果让我冒了冷汗。MySQL的banner显示是5.7.24，这个版本存在一个已知的提权漏洞。更糟的是，nmap还识别出SSH是OpenSSH 7.4，对应CentOS 7的老版本。虽然云厂商一般会做底层虚拟化隔离，但你的虚拟机内部系统漏洞，他们可不管。

有个细节值得新手注意：nmap扫描云服务器时，结果可能和实际有偏差。因为云平台的安全组和VPC网络可能在更底层就丢包了，nmap看到的是“被过滤”状态，而不是真正的“关闭”。比如我后来用UDP扫描查DNS服务时，几乎所有端口都显示filtered——这其实是阿里云的安全策略在起作用，不是服务器本身没有监听UDP端口。

更麻烦的是，很多云厂商会部署入侵检测系统。我自己就在扫描一台AWS EC2时触发过CloudTrail告警，没过多久就收到了官方邮件提醒。所以如果你要扫描别人的云服务器——哪怕是授权的渗透测试——最好加个--source-port 53参数，让源端口看起来像DNS查询，部分防护系统会放行这类流量。但别指望这能骗过所有检测，AWS的GuardDuty对这种手法门儿清。

最后说点实际的。扫描自己的云服务器，真正要关注的就三件事：第一，安全组规则是否最小化，端口暴露面越小越好；第二，服务版本是否老旧，该升级就升级；第三，敏感服务比如数据库、Redis，绝对不要绑定0.0.0.0。nmap能帮你发现前两个问题，第三个得靠你自己配置时留个心眼。

我那次扫描后立刻关掉了3306的公网访问，改成了通过VPN跳板连接。整个过程花了不到半小时，但避免了数据库被人拖库的风险。这种收益，比任何安全培训都来得直观。