凌晨三点，端口某云厂商的扫描防火墙日志突然刷屏——同一源IP在十秒内对数千个端口发起了TCP连接请求。这不是攻击电影桥段，是端口我上周刚处理过的真实事件。攻击者根本不需要多高深的扫描技术，一个开源的攻击masscan工具，配上家用宽带，端口就能在几分钟内把你暴露在公网的扫描服务摸个底朝天。

端口扫描的攻击本质，就像小偷在小区里挨家挨户按门铃。端口每个IP地址有65535个端口，扫描其中80端口通常是攻击网页服务，22端口是端口SSH登录，3306是扫描MySQL数据库。攻击者按顺序发送探测包，攻击根据返回的响应判断哪些端口“有人在家”。真正让人头疼的是，这种扫描行为本身不产生破坏性，防火墙很难直接拦截——它只是“看了一眼”，还没动手撬锁。

我见过最典型的案例是某初创公司，开发图省事把Redis服务直接绑在公网IP的6379端口上，没设密码。扫描工具扫到开放端口后，用默认口令试了试，结果整个数据库被人拖走，还留下勒索信。你说这算不算自找的？可现实中太多人觉得“我服务器上没什么值钱数据”，直到被扫穿才追悔莫及。

扫描的方式分两种。垂直扫描盯着一个IP扫全端口，水平扫描则用一个固定端口去扫整个网段。后者更阴险，比如最近流行的针对物联网设备的扫描，专门找暴露的Telnet端口，拿到设备权限后拉进僵尸网络。去年某省电力公司的智能电表被大规模控制，起因就是某个供应商的设备开放了23端口且使用硬编码密码。

防御手段其实不复杂。最有效的是端口敲门——不主动开放任何端口，只有按特定顺序发送连接请求后才临时放行。但这招对多数业务场景不适用，毕竟你不能让访客每次都玩暗号游戏。更实际的做法是：用防火墙限制来源IP，把管理端口绑定到VPN内网；定期用Nmap扫描自己的公网IP，看看暴露面有多大；云服务商的安全组规则要最小化授权，别图省事直接开0.0.0.0/0。

有个细节很多人忽略——扫描日志往往能看出攻击者的意图。如果对方只扫了常见端口就撤，多半是自动化脚本在撒网；要是盯着你某个特定端口反复尝试，那就得警惕定向攻击了。我处理过一起案例，攻击者专门扫某公司财务系统的8080端口，持续了三个月，最后发现是离职员工在搞报复。

说到底，端口扫描就像现实世界里的踩点行为。你没装防盗门，小偷自然优先光顾。别指望靠隐藏IP来规避风险，IPv6地址空间虽大，但用Shodan这类搜索引擎照样能精准定位。把每次扫描都当成一次安全体检报告，及时修补暴露的服务，比任何玄学防御都管用。

(责任编辑：探索)