🔍 端口扫描与服务识别深度补充

一、网络端口服务分类详解

1. Web服务端口

端口号	协议	服务/应用	用途说明	安全关注点
80	TCP	HTTP	标准Web服务	SQL注入、XSS、目录遍历
443	TCP	HTTPS	加密Web服务	SSL/TLS配置、证书验证
8080	TCP	HTTP代理/备用	替代Web端口	常被用于管理后台
8443	TCP	HTTPS备用	加密备用端口	内部管理接口
8000-8010	TCP	开发服务器	Flask/Django/Node.js开发端口	调试模式信息泄露
9000	TCP	PHP-FPM	PHP进程管理器	未授权访问、RCE
9200/9300	TCP	Elasticsearch	搜索服务	未授权访问、数据泄露

2. 数据库端口

端口号	协议	数据库类型	默认配置	常见漏洞
3306	TCP	MySQL/MariaDB	根用户认证	弱口令、UDF提权
5432	TCP	PostgreSQL	信任认证	CVE-2019-9193
1433	TCP	MS SQL Server	Windows认证	xp_cmdshell滥用
1521	TCP	Oracle	TNS监听	TNS Poison攻击
27017	TCP	MongoDB	无认证默认	未授权访问
6379	TCP	Redis	无密码默认	未授权访问、主从复制RCE
5000	TCP	HBase	REST API	信息泄露
7001-7002	TCP	Oracle WebLogic	控制台	反序列化漏洞

3. 中间件/应用服务器端口

端口号	协议	中间件	功能	风险点
8080	TCP	Tomcat	Java Web容器	管理后台弱口令
7001	TCP	WebLogic	Java EE服务器	反序列化漏洞
8161	TCP	ActiveMQ	消息队列	弱口令、文件上传
5672	TCP	RabbitMQ	消息代理	默认凭据
15672	TCP	RabbitMQ管理	Web管理界面	未授权访问
8161	TCP	ActiveMQ	消息队列	弱口令
61616	TCP	ActiveMQ	OpenWire协议	反序列化
2375/2376	TCP	Docker API	容器引擎	未授权访问
9000	TCP	Portainer	容器管理	弱口令

4. 文件与存储服务端口

端口号	协议	服务	用途	安全风险
21	TCP	FTP	文件传输	明文传输、暴力破解
22	TCP	SFTP	SSH文件传输	密钥泄露
445	TCP	SMB/CIFS	Windows文件共享	永恒之蓝
2049	TCP/UDP	NFS	网络文件系统	未授权挂载
873	TCP	Rsync	文件同步	未授权访问
139	TCP	NetBIOS	网络基本输入输出	信息枚举

5. 邮件服务端口

端口号	协议	服务	功能	安全问题
25	TCP	SMTP	邮件发送	开放中继、垃圾邮件
110	TCP	POP3	邮件接收	明文认证
143	TCP	IMAP	邮件访问	明文传输
465	TCP	SMTPS	加密SMTP	证书配置错误
993	TCP	IMAPS	加密IMAP	中间人攻击
995	TCP	POP3S	加密POP3	配置错误

6. 远程管理与监控端口

端口号	协议	服务	用途	攻击向量
22	TCP	SSH	安全外壳	暴力破解、密钥泄露
23	TCP	Telnet	远程登录	明文传输
3389	TCP	RDP	远程桌面	BlueKeep、暴力破解
5900+	TCP	VNC	虚拟网络计算	弱口令
5985/5986	TCP	WinRM	Windows远程管理	凭证窃取

7. 特殊服务与协议端口

端口号	协议	服务	作用	安全隐患
53	TCP/UDP	DNS	域名解析	DNS劫持、DDoS
161/162	UDP	SNMP	简单网络管理协议	默认社区字符串
389	TCP	LDAP	轻量目录访问	信息泄露
636	TCP	LDAPS	加密LDAP	证书问题
514	UDP	Syslog	系统日志	日志伪造

二、端口扫描技术进阶

1. 扫描方法对比

扫描类型	命令示例	特点	隐蔽性
TCP全连接	nc -zv 目标 端口	易被日志记录	低
SYN半开	nmap -sS 目标	不建立完整连接	中
FIN扫描	nmap -sF 目标	绕过简单防火墙	中高
NULL扫描	nmap -sN 目标	所有标志位为0	中高
XMAS扫描	nmap -sX 目标	FIN/URG/PSH置位	中高
UDP扫描	nmap -sU 目标	扫描UDP服务	耗时较长

2. 服务指纹识别命令

# Nmap服务版本探测
nmap -sV -p 1-65535 目标IP

# 深度服务识别
nmap -sV --version-intensity 9 -p 目标端口 目标IP

# 脚本扫描（特定服务）
nmap --script=banner 目标IP
nmap --script=mysql-info 目标IP -p 3306

# 操作系统识别
nmap -O 目标IP

3. 协议探针技巧

# HTTP/HTTPS服务识别
curl -I http://目标:端口
openssl s_client -connect 目标:443 -tls1_2

# 数据库服务探针
mysql -h 目标IP -P 3306 -u root
redis-cli -h 目标IP -p 6379 info

# 自定义协议探针
echo "INFO" | nc 目标IP 6379  # Redis
echo "HELP" | nc 目标IP 21    # FTP

三、角色定性分析框架

1. 服务器角色判断矩阵

开放端口组合	可能角色	验证方法
80/443 + 3306	Web+数据库服务器	检查是否在同一主机
22 + 80/443 + 9000	开发/测试服务器	查看目录结构、版本信息
3389 + 445 + 135	Windows域控制器	检查AD相关服务
53 + 25 + 110	邮件/DNS服务器	检查邮件队列、DNS解析
9200 + 5601 + 9300	ELK日志服务器	检查Kibana界面

2. 服务关联性分析

Web服务器集群:
  - 80/443 (负载均衡器)
  - 8080/8443 (应用服务器)
  - 3306/5432 (数据库，通常不在同一主机)

微服务架构:
  - 9000-9010 (多个微服务)
  - 8761 (服务注册中心)
  - 15672 (消息队列管理)

容器化环境:
  - 2375/2376 (Docker API)
  - 8080 (Kubernetes Dashboard)
  - 10250 (Kubelet API)

四、实战脚本示例

1. Python端口扫描器

import socket
import concurrent.futures

def scan_port(ip, port):
    try:
        sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        sock.settimeout(1)
        result = sock.connect_ex((ip, port))
        sock.close()
        if result == 0:
            return port
    except:
        pass
    return None

def banner_grab(ip, port):
    try:
        sock = socket.socket()
        sock.settimeout(2)
        sock.connect((ip, port))
        sock.send(b'HEAD / HTTP/1.0\r\n\r\n')
        banner = sock.recv(1024).decode('utf-8', errors='ignore')
        sock.close()
        return banner[:100] if banner else ""
    except:
        return ""

# 多线程扫描常用端口
common_ports = [21,22,23,25,53,80,110,111,135,139,143,443,445,993,995,1723,3306,3389,5900,8080]

with concurrent.futures.ThreadPoolExecutor(max_workers=100) as executor:
    futures = {executor.submit(scan_port, "目标IP", port): port for port in common_ports}
    for future in concurrent.futures.as_completed(futures):
        port = futures[future]
        result = future.result()
        if result:
            banner = banner_grab("目标IP", port)
            print(f"[+] 端口 {port} 开放 - {banner}")

2. Nmap自动化脚本

#!/bin/bash
# 自动化信息收集脚本

TARGET=$1
OUTPUT_DIR="scan_results_$(date +%Y%m%d_%H%M%S)"

mkdir -p $OUTPUT_DIR

echo "[*] 开始对 $TARGET 进行综合扫描"

# 1. 快速端口扫描
echo "[1/6] 快速端口扫描..."
nmap -T4 -F $TARGET -oN $OUTPUT_DIR/quick_scan.txt

# 2. 全端口扫描
echo "[2/6] 全端口扫描..."
nmap -T4 -p- $TARGET -oN $OUTPUT_DIR/full_ports.txt

# 3. 服务版本探测
echo "[3/6] 服务版本探测..."
open_ports=$(grep -oP '\d+/open' $OUTPUT_DIR/full_ports.txt | cut -d'/' -f1 | tr '\n' ',')
nmap -T4 -sV -p $open_ports $TARGET -oN $OUTPUT_DIR/service_versions.txt

# 4. 漏洞脚本扫描
echo "[4/6] 漏洞脚本扫描..."
nmap -T4 --script=vuln -p $open_ports $TARGET -oN $OUTPUT_DIR/vuln_scan.txt

# 5. 操作系统识别
echo "[5/6] 操作系统识别..."
nmap -T4 -O $TARGET -oN $OUTPUT_DIR/os_detection.txt

# 6. 输出总结报告
echo "[6/6] 生成报告..."
cat $OUTPUT_DIR/*.txt > $OUTPUT_DIR/full_report.txt
echo "扫描完成！结果保存在 $OUTPUT_DIR/"

五、防御与对抗策略

1. 端口隐藏技术

• 端口敲门 (Port Knocking)：只有特定序列才开放端口
• 单包授权 (SPA)：类似端口敲门的加密版本
• 非标准端口：将服务部署在非常规端口

2. 服务伪装技术

# Nginx 伪装示例
server {
    listen 80;
    server_name _;

    # 对扫描器返回假页面
    if ($http_user_agent ~* (nmap|nikto|sqlmap)) {
        return 444;
    }

    # 默认返回假服务信息
    location / {
        add_header Server "Microsoft-IIS/8.5";
        return 200 "Service Unavailable";
    }
}

3. 监控与告警

IDS规则示例:
  - 规则: 检测端口扫描
  - 条件: 同一源IP在10秒内访问超过20个不同端口
  - 动作: 触发告警并临时封禁

SIEM配置:
  - 日志源: 防火墙、系统日志、Web服务器
  - 告警阈值: 非常规时间段的端口访问
  - 响应流程: 自动分析->人工确认->处置

---