凌晨两点十七分，扫描端口我盯着屏幕上跳动的扫描端口数字——22端口开着。这不是扫描端口我自己的服务器。准确说，扫描端口这是扫描端口我租来练手的一台VPS，刚重装系统不到四十分钟，扫描端口SSH都还没配完密钥登录，扫描端口就已经有人来敲门了。扫描端口

扫描端口这件事，扫描端口说白了就是扫描端口挨个敲门问“有人吗”。TCP三次握手，扫描端口SYN发过去，扫描端口对方回SYN-ACK，扫描端口端口就活着；回RST，扫描端口就关着。扫描端口听起来简单到无聊，但真正跑一次nmap -sS 10.0.0.1，看着终端里一行行状态蹦出来，那种感觉像在黑暗中摸到了一排开关，有的烫手，有的冰凉。

我最早接触端口扫描，是帮朋友看一台被入侵的机器。他跑了个WordPress，后台密码设成了admin123。我扫了一遍全端口，发现除了80和443，还开着3306——MySQL直接暴露在公网。更离谱的是，root密码为空。攻击者连暴力破解都省了，直接连上去把数据库导走，顺手在wp_options里塞了段恶意脚本。那次之后我养成了一个习惯：每台新机器上线前，先自己扫一遍，看看有没有不该开的东西。

工具本身没什么门槛。nmap、masscan、zmap，甚至用bash写个循环加/dev/tcp也能凑合。真正有意思的是结果怎么读。比如你扫到一台机器开着8080，可能是Tomcat，可能是Jenkins，也可能是某个开发随手起的Python http.server。端口号只是门牌，门后面住着谁，得再敲一下才知道。我遇到过一台机器，22端口开着但banner显示的是“SSH-2.0-OpenSSH_7.4”，看着正常，结果连上去发现是蜜罐——故意放出来的诱饵，记录你所有的登录尝试。

扫描行为本身会留下痕迹。防火墙日志、IDS告警、甚至对方服务器上的/var/log/auth.log，都会记下你的IP。有次我用一台没挂代理的机器扫了某个网段，十分钟后收到一封邮件，标题是“我们注意到了你的扫描行为”，正文里附了我发起扫描的源IP和时间戳。对方是家安全公司，语气礼貌但意思明确：别扫了。那封邮件我存了很久，提醒自己扫描不是隐身术。

速度是个矛盾。masscan号称能六分钟扫完整个IPv4，但发包太快会丢包，结果不准。nmap默认的T4已经够快，但遇到有速率限制的目标，照样吃RST。我一般先用masscan快速过一遍常见端口，再拿nmap对感兴趣的IP做精细扫描，加-sV看版本，-O猜系统。慢是慢点，但数据扎实。有次扫一个C段，masscan说80端口全开，nmap一验证，只有三台真的在监听——剩下的是运营商中间设备回的假SYN-ACK。

端口扫描不违法，但扫别人的机器可能违反服务条款。我自己的原则很简单：只扫自己的资产，或者拿到书面授权。公网上那些随便扫着玩的，要么是没吃过亏，要么是觉得法不责众。真出了事，日志里的源IP可不会替你撒谎。

现在那台VPS的22端口我已经关了，换成非标准端口加密钥认证。但我知道，明天凌晨还会有扫描器来敲门。它们不会累，不会忘，像潮水一样一遍遍拍打所有可能的入口。我能做的，就是把门关好，然后偶尔也去敲敲别人的门——当然，只敲我自己的。