端口扫描

本文约需 2 分钟阅读

端口扫描 (Port Scanning) 是指针对网络上的主机，调查各端口开闭状态的侦察行为。攻击者通过端口扫描识别正在运行的服务以及存在漏洞的软件，并以此作为入侵的突破口。另一方面，安全管理员也会执行端口扫描，以确认本组织网络的安全性。截至 2025 年，借助 Shodan、Censys 等扫描整个互联网的服务，任何人都能搜索到公开端口的信息，使得意外暴露端口的风险进一步加大。

现场使用案例

“在定期的端口扫描中，我们发现开发者为验证而启动的 Redis 服务器 (端口 6379) 在没有认证的情况下对外公开。原因是安全组配置错误，我们已立即限制了访问。”

扫描手法的种类

TCP SYN 扫描 (半开放扫描) 是不完成连接即可确认端口状态的最常见手法。 TCP Connect 扫描会建立完整的连接，因此容易被检测到，但不需要特殊权限。 UDP 扫描用于调查 DNS (53)、SNMP (161) 等 UDP 服务。 Nmap 是使用最广泛的端口扫描工具，甚至能识别操作系统的类型和服务的版本。端口扫描书籍 (Amazon)可以学习技术细节。

实务中的应用场景

在渗透测试的初期阶段，必定会对目标网络执行端口扫描。例如，如果某 Web 服务器除 80/443 之外还对外公开了 22 (SSH)、3306 (MySQL)、8080 (管理界面)，那么它们各自都会成为攻击目标。安全管理员应定期执行端口扫描，确认是否有意外开放的端口。在云环境中，因安全组配置错误而暴露不必要端口的情况屡见不鲜。

防御措施

使用防火墙仅开放必要的端口，停止不必要的服务。通过 IDS/IPS 设置端口扫描的检测与自动拦截也很有效。用强随机密码保护 SSH 和管理界面，更改默认端口 (例如将 SSH 从 22 改为其他端口) 也是应对随意扫描的措施。基于零信任安全的理念，不仅要在网络边界，还要在各服务层面加强认证。防火墙配置指南 (Amazon)也很有参考价值。