端口扫描是一种 型网络攻击

端口扫描是端口一种探测型网络攻击

2016年，我帮朋友排查一台被入侵的扫描服务器。日志里有个IP在凌晨三点连续访问了从21到65535的种型每一个端口，耗时不到四分钟。网络这不是攻击什么高级漏洞利用，就是端口最基础的端口扫描——但正是这次扫描，让攻击者找到了那台机器上意外开放的扫描3389端口，三天后服务器成了别人的种型肉鸡。

很多人把端口扫描和DDoS、网络SQL注入混为一谈，攻击觉得都是端口"黑客攻击"。其实差别大了。扫描DDoS是种型砸门，SQL注入是网络撬锁，端口扫描更像挨家挨户拧门把手——它不破坏任何东西，攻击只是确认哪扇门没锁。从技术定义上讲，端口扫描属于探测型网络攻击，也叫信息收集型攻击。它的目的不是造成直接损害，而是为后续真正的入侵绘制地图。

扫描的原理不复杂。TCP协议里有个三次握手：客户端发SYN，服务器回SYN-ACK，客户端再回ACK。扫描工具就利用这个机制做文章。发SYN包过去，如果对方回SYN-ACK，说明端口开着；回RST，说明端口关着；什么都不回，可能被防火墙拦了。还有一种更隐蔽的FIN扫描，不发SYN发FIN，关闭的端口反而回RST，开放的端口直接丢弃——这种扫描在有些系统上根本不记日志。

我见过最粗暴的扫描是nmap默认的TCP connect扫描。它直接调用操作系统的connect()函数，完成完整的三次握手。好处是不需要root权限，坏处是目标服务器日志里会留下一大串"连接已建立"的记录。稍微讲究点的攻击者会用SYN半开扫描，握手到一半就撤，日志里只留下"半连接"状态。更老练的会控制扫描速度，把每分钟发包数压到个位数，混在正常流量里慢慢摸。

为什么说它是攻击而不是普通探测？因为未经授权的端口扫描在大多数国家都触犯了法律。美国《计算机欺诈与滥用法》把"未经授权访问计算机"定为联邦重罪，端口扫描算访问尝试。国内《网络安全法》第二十七条也明确禁止"干扰他人网络正常功能、窃取网络数据等危害网络安全的活动"。扫描本身可能不干扰功能，但它是入侵链条的第一步——就像踩点的小偷，还没偷东西，但已经站在你家院子里数窗户了。

防御端口扫描没有一劳永逸的办法。有人建议关掉所有不必要的端口，这没错，但服务器总得开80和443。有人用端口敲门，默认全关，收到特定序列的包才临时开放——这招能挡住大部分自动化扫描，但配置复杂，我见过配错规则把自己锁在外面的运维。更实际的做法是部署入侵检测系统，对短时间内来自同一IP的大量连接尝试告警。我自己的VPS上跑着fail2ban，规则很简单：60秒内触发5次端口拒绝，封IP两小时。三年来拦了大概四千多次扫描，大部分来自固定几个云服务商的IP段。

有个细节值得琢磨。很多扫描器会伪造源IP，让你封不过来。但伪造IP有个问题——收不到回包。所以高级扫描会结合僵尸网络，用真实的被控主机做分布式扫描。2019年有个叫Masscan的工具有人改造成了分布式版本，一千台肉鸡同时扫一个C段，每台只扫几十个端口，单台流量小到几乎无法触发告警。这种扫描已经不是探测了，是战争迷雾里的侦察兵。

回到开头那台服务器。后来我查了那个扫描IP，来自一家已经倒闭的罗马尼亚主机商。攻击者扫完端口后隔了两天才动手，大概是在等周末运维不在线。端口扫描就是这样——它不声不响，不留明显痕迹，但所有后续攻击都从它开始。把它叫做"攻击"不是咬文嚼字，是提醒自己：当有人在拧你家门把手的时候，别以为他只是路过。