凌晨三点，网络某电商平台的安全数据库突然被勒索软件加密。事后排查发现，高危攻击者只做了一件事——扫描互联网上暴露的端口3306端口，用弱口令撞库成功。网络这不是安全电影情节，是高危上个月真实发生的案例。3306，端口MySQL数据库的网络默认端口，成了企业一夜崩溃的安全导火索。

端口是高危服务器的门牌号，但很多门从装上系统那天起就没锁过。端口攻击者不需要高超技巧，网络他们手里有全球IP段扫描器，安全每小时能扫上百万个地址。高危你开着3389（远程桌面）不设强密码，等于把服务器钥匙挂在门口。

先说几个最要命的端口。139和445，Windows文件共享的老漏洞温床。2017年WannaCry勒索病毒横扫全球，就是靠445端口蠕虫式传播。现在仍有大量内网机器开着它，一旦边界设备失守，内网横向移动就像逛超市一样容易。

再提22端口（SSH）。你以为密码设成“Admin@123”就安全了？暴力破解工具每秒能试上千次组合，配合撞库字典，撑不过十分钟。我见过某运维把SSH暴露到公网，日志里每天上万条失败登录记录，他还觉得“反正没被攻破”。直到某天日志清空了——不是攻击停止，是对方已经拿到root权限，把痕迹抹干净了。

还有1433（SQL Server）和1521（Oracle），数据库端口暴露等于把金库门敞开。去年某银行外包系统被拖库，原因就是测试环境把1521映射到了公网，里面还存着几百万条客户信息。

别以为高危端口只存在于老旧的Windows机器。现在云主机默认安全组如果配置不当，照样把6379（Redis）暴露出去。Redis未授权访问漏洞被利用后，攻击者可以写crontab反弹shell，直接控制整台服务器。更阴险的是，他们不会立刻动手，而是潜伏几周，等你的业务流量最繁忙时再勒索——那时候你连下线修补的勇气都没有。

有个细节很多人忽略：端口扫描本身不违法，Shodan这样的搜索引擎专门索引暴露设备。你随手开的端口，可能早就被收录在案，等着被批量利用。我检查过一家初创公司的服务器，安全组规则里赫然写着“0.0.0.0/0”允许全部入站——他们以为默认配置就是安全的。

怎么防？不是关掉所有端口就完事。先分清哪些服务必须对外，比如80/443给Web用，其他一律绑定内网IP。远程管理用VPN或跳板机，别直接暴露3389和22。数据库端口永远只对应用服务器开放，别图省事设成公网可访问。最后，每季度做一次端口扫描，用Nmap扫一遍自己的公网IP，看到意外开放的端口就立刻处理——这比买任何安全设备都管用。

端口本身没有善恶，但暴露在错误位置的端口就是定时炸弹。你不需要成为黑客，但至少要清楚自己的门朝哪开。毕竟，攻击者最爱的不是你有多强的防御，而是你有多懒的配置。