系统安全 on SoulJian小站

常见端口与默认服务一览

Sat, 29 Aug 2026 04:15:00 +0800

写在前面：合法学习边界

本文整理常见端口与默认服务，用于学习服务识别、端口扫描和攻击面分析。请不要把扫描命令直接用于未经授权的互联网目标、企业内网或其他人服务器。任何端口扫描、服务探测、漏洞验证和渗透测试都应在自己设备、自建靶场、明确授权的测试环境或已获书面授权的目标范围内进行。

一、为什么安全学习要背端口

端口不决定协议内容，但它通常是安全人员观察服务的第一层线索。一个服务开放在哪个端口，会影响我们判断：这台主机可能是 Web 服务器、数据库服务器、缓存服务、远程管理服务，还是普通应用服务器。

端口分析的价值不只是“记住数字”。更重要的是理解：

1
2
3
4


这个端口背后通常是什么服务？
服务是否应该暴露在公网？
如果暴露了，攻击者可能尝试什么？
服务版本、认证方式和日志位置在哪里？

二、端口范围与常见分类

TCP 和 UDP 端口都是 0 到 65535。通常可以分为三类：

1
2
3


0-1023：系统端口，传统上保留给 root 或系统服务
1024-49151：注册端口，很多应用和中间件会用到
49152-65535：动态或私有端口，常见于临时连接

安全排查时，不要机械地认为“小端口才是服务”。很多业务会把 Web 服务放在 8080、8081、8088、8443、9000 这类高位端口上。

三、常见端口速查表

端口	协议	常见服务	安全关注点
20/21	FTP	文件传输	弱口令、匿名登录、明文传输
22	SSH	Linux 远程登录	弱口令、密钥泄露、爆破
25	SMTP	发送邮件	邮件外发、钓鱼、邮件网关漏洞
53	DNS	域名解析	递归查询滥用、DNS 隧道、缓存投毒
67/68	DHCP	动态分配 IP	ARP/DHCP 欺骗、内网配置异常
80	HTTP	Web	XSS、SQL 注入、敏感路径、明文传输
110	POP3	收邮件	弱口令、明文密码
143	IMAP	收邮件	弱口令、邮件读取风险
443	HTTPS	加密 Web	TLS 配置、证书、API 鉴权
445	SMB	Windows 文件共享	SMB 漏洞、横向移动
993	IMAPS	加密 IMAP	TLS 配置、邮箱安全
3306	MySQL	MySQL 数据库	公网暴露、弱口令、SQL 注入
3389	RDP	Windows 远程桌面	弱口令、爆破、NLA 配置
5432	PostgreSQL	PostgreSQL 数据库	公网暴露、SQL 注入、权限控制
6379	Redis	缓存	未授权访问、弱密码、命令注入
8080	HTTP/应用	Web 应用、反向代理、中间件	默认后台、管理接口
9200	HTTP	Elasticsearch	未授权访问、敏感索引、暴力枚举
9300	HTTP	Elasticsearch Transport	老版本风险、权限配置
50070/50071	HTTP/HDFS	Hadoop 管理接口	内部组件暴露、YARN/HDFS 风险

四、如何判断一个端口是否值得深入

拿到端口扫描结果后，不能看到端口就下结论。建议按下面顺序判断：

1
2
3
4
5
6
7


1. 端口是否开放
2. 服务类型是否明确
3. 服务版本是否暴露
4. 是否需要认证
5. 是否暴露在公网
6. 是否符合业务预期
7. 是否有对应日志和监控

例如，扫描发现 6379/tcp open，不要直接说“Redis 被黑了”。更准确的表达是：

1

6379/tcp 开放，响应疑似 Redis，需要确认是否授权公网访问、是否存在弱口令或未授权配置。

五、常用端口扫描命令

以下命令仅适合在授权目标或本机环境中使用。

1. 扫描指定端口

1

nmap -p 22,80,443,3306,6379 <获得授权的目标IP>

适合快速检查常见 Web、SSH、数据库和缓存服务。

2. 扫描全部 TCP 端口

1

nmap -sS -p- <获得授权的目标IP>

全端口扫描耗时更长，也更容易触发告警。必须先确认授权范围、时间和目标边界。

3. 识别服务版本

1

nmap -sV -O -p 22,80,443,3306,6379 <获得授权的目标IP>

服务版本和 OS 检测对报告价值较高，但对目标影响也更大，因此必须在授权环境中谨慎执行。

4. 扫描 UDP 常见端口

1

nmap -sU -p 53,67,68,123,161,162 <获得授权的目标IP>

UDP 扫描通常更慢，因为需要依赖响应和超时判断。DNS、SNMP、NTP、Syslog 等 UDP 服务是安全排查重点。

5. 本机查看监听端口

1

sudo ss -tulnp

这是排查本机服务暴露的常用命令。-t 显示 TCP，-u 显示 UDP，-l 只显示监听状态，-n 显示数字端口，-p 显示进程。

6. 用 curl 快速验证 Web 服务

1
2


curl -I http://127.0.0.1:8080
curl -I http://127.0.0.1:8080/actuator/health

访问路径应限于自己环境或授权目标。不要在生产系统上扫描敏感路径。

六、重点服务的安全思考

1. SSH：22

SSH 是 Linux 系统常见远程管理入口。安全风险主要来自弱口令、无限制登录来源、未启用密钥、日志缺失和过度开放的防火墙。

防御建议：

1
2
3
4
5


限制源 IP 或 VPN 访问
使用密钥登录
禁用或限制 root 直接登录
启用失败登录告警
保留 auth.log 和 secure.log

2. HTTP/HTTPS：80/443

Web 端口是攻击面最大的入口之一。常见风险包括 SQL 注入、XSS、SSRF、文件上传、未授权访问、后台路径暴露和 API 越权。

防御建议：

1
2
3
4
5


全站强制 HTTPS
隐藏错误堆栈
配置 CORS、CSRF、CSP
最小化后台路径暴露
接入 WAF 和日志审计

3. MySQL：3306

数据库端口不应默认暴露在公网。公网暴露的 3306 端口需要重点确认是否真的需要外部访问。

常见风险：

1
2
3
4


弱口令登录
远程账号权限过大
未加密传输
应用 SQL 注入后进一步读取数据库

防御建议：

1
2
3
4


数据库不要直接公网暴露
应用通过内网访问数据库
数据库账号最小权限
连接使用 SSL

4. Redis：6379

Redis 经常被误配置为公网可访问。未授权 Redis 可能导致敏感信息读取、配置篡改，甚至被攻击者写入计划任务或 SSH 密钥，从而获得服务器控制权。

防御建议：

1
2
3
4
5


绑定内网地址
启用 requirepass
限制 bind 地址
不要使用默认匿名配置
避免通过公网直接访问

5. RDP：3389

RDP 是 Windows 远程管理端口，公网暴露时常见爆破和勒索攻击风险。

防御建议：

1
2
3
4
5


限制来源 IP
启用 NLA
使用强密码或证书登录
设置账户锁定策略
避免默认管理员账号暴露

6. Elasticsearch：9200

Elasticsearch 常见未授权访问、敏感索引泄露和集群配置风险。9200 端口如果开放，需要确认是否有鉴权、是否需要公网访问、是否存在敏感索引。

防御建议：

1
2
3
4


启用 X-Pack 或第三方鉴权
限制监听地址
使用 SSL/TLS
避免默认账号和密码

七、从端口结果到安全报告

扫描端口只是起点，真正有价值的报告需要给出判断依据。

示例报告写法：

1
2
3
4
5


资产：10.0.0.20
开放端口：22/tcp, 80/tcp, 443/tcp, 3306/tcp
发现：3306/tcp 疑似 MySQL 服务暴露。
风险：数据库服务不应直接公网访问；若账号权限较大，可能导致数据泄露或未授权操作。
建议：移除公网暴露，仅允许应用服务器访问；核查数据库账号权限；补充数据库访问日志。

不要只写：

1

发现 MySQL 端口开放，存在风险。

这种描述缺少证据、影响和建议，不能指导修复。

八、小结

常见端口表是安全学习的地图，不是攻击清单。每个端口都要结合业务场景、授权边界、服务版本和访问控制来判断。后续学习 SQL 注入、XSS、Burp Suite、WAF 和日志分析时，你会不断回到这张端口地图：先找到入口，再分析协议，最后验证影响。

Linux 基础：用户、权限与文件系统

Sat, 29 Aug 2026 04:05:00 +0800

写在前面：合法学习边界

Linux 是安全学习、渗透测试和应急响应中最常见的操作系统。本文内容用于理解用户权限、文件系统和服务运行身份。请不要在没有授权的情况下修改他人系统、尝试提权、读取他人隐私数据、绕过访问控制或使用漏洞工具。所有权限测试、配置审计和应急响应动作都应在自己设备、本地靶场、公司授权测试环境或已获书面授权的系统上完成。

一、为什么安全学习必须懂 Linux

很多 Web 服务、数据库、反向代理、日志系统和云主机都运行在 Linux 上。安全人员需要知道：服务以哪个用户运行、配置文件谁能修改、上传目录是否可写、日志记录在哪里、关键系统文件是否被替换、某个进程是否消耗异常资源。

对零基础学习者来说，Linux 基础可以从四个问题开始：

1
2
3
4


这台机器有哪些用户？
当前我以谁的身份运行？
文件属于谁，谁可以读、写、执行？
进程以谁的身份运行，访问了哪些文件和资源？

这些问题贯穿 Web 安全、提权排查、日志分析、服务器加固和应急响应。

二、用户与组：操作系统中的身份

Linux 中几乎每个动作都需要身份。用户代表“谁在操作”，组代表“用户之间的共同权限集合”。一个用户可以属于多个组，组权限可以让同一批用户访问同一批资源。

1. 查看当前用户

1
2
3


whoami
id
groups

whoami 输出当前用户名；id 输出用户 ID、组 ID 和所属组；groups 输出用户属于哪些组。

常见输出示例：

1
2


ubuntu
uid=1000(ubuntu) gid=1000(ubuntu) groups=1000(ubuntu),27(sudo),33(www-data)

这说明当前用户是 ubuntu，属于 sudo 组，也能看到 www-data 这个组。

2. 查看用户列表

1

cat /etc/passwd

/etc/passwd 中每一行通常包含：用户名、密码占位符、UID、GID、用户描述、家目录和登录 shell。重点看 UID：

1
2


UID=0：root，拥有最高权限
UID=1000 以上：通常是一般用户

安全排查时，可以关注是否新增 UID 为 0 的账户，或者是否存在异常登录 shell。

3. 创建普通用户和组

以下命令通常由管理员在授权环境中执行：

1
2
3


sudo groupadd devteam
sudo useradd -m -G devteam alice
sudo passwd alice

说明：

1
2
3
4


groupadd：创建用户组
useradd -m：创建用户并创建家目录
-G：加入附加组
passwd：设置密码

实际生产环境中，还需要考虑密码复杂度、SSH 密钥、登录限制、账户过期和审计日志。

三、权限：rwx 和数字权限

Linux 文件权限主要分为三类：读、写、执行。对应字母是 r、w、x。

权限	含义
r read	读取文件内容或列出目录内容
w write	修改文件内容或在目录中创建、删除、重命名文件
x execute	执行文件或进入目录

常见权限示例：

1
2
3


-rw-r--r--：所有者可读写，组和其他人可读
-rwxr-xr-x：所有者可执行，组和其他人可读和执行
-rw-------：只有所有者可读写

数字权限表示方式：

1
2
3
4


r = 4
w = 2
x = 1
--- = 0

所以：

1
2
3


755 = rwxr-xr-x
644 = rw-r--r--
600 = rw-------

常用命令：

1
2
3
4
5


ls -l
chmod 755 deploy.sh
chmod 600 private.key
chown ubuntu:ubuntu notes.txt
chgrp devteam notes.txt

安全提示：私钥、口令文件、配置文件不应该开放给所有人读写。Web 目录也要避免被非必要用户随意写入。

四、目录权限的特殊含义

目录权限容易被新手误解。文件需要 x 才能执行，但目录需要 x 才能进入，需要 r 才能列出内容。

例子：

1

rwxr-xr-x /var/www

意味着其他用户可以进入并读取目录内容；如果目录没有 x，即使用户知道文件路径，也可能无法进入该目录。

如果目录有写和执行权限：

1

rwx------

通常只有所有者可以在目录中创建、删除、重命名文件。生产 Web 服务器通常不应让上传目录同时可写、可执行、可被外部用户修改。

五、文件系统常见路径

了解常见目录能帮助理解服务和日志位置。

1
2
3
4
5
6
7
8
9


/bin 常用命令
/usr/bin 大量用户命令
/etc 配置文件
/var/log 日志文件
/var/www Web 根目录常见位置，具体取决于站点配置
/home 普通用户家目录
/root root 用户家目录
/tmp 临时文件目录
/dev 设备文件

常用查看命令：

1
2
3
4


pwd
ls -lah
find /etc -maxdepth 1 -type f -name '*.conf'
find /var/log -maxdepth 2 -type f | sort | head -100

安全排查时，可以重点看 Web 根目录、配置文件、日志目录和临时目录。但不要盲目读取包含密钥、令牌或个人信息的文件，必须确认授权范围。

六、常用文件查看和搜索命令

1. 查看文件内容

1
2
3
4


cat small.txt
head -50 access.log
tail -100 access.log
tail -f /var/log/syslog

tail -f 会持续显示新写入日志。应急响应中常用它观察实时变化。

2. 搜索关键字

1
2


grep -n '404' /var/log/nginx/access.log
grep -R 'password=' /etc/nginx/conf.d/

-n 显示行号，-R 递归搜索目录。搜索敏感词时不要随意把结果复制到公共文档中，可能会泄露凭据、路径或用户信息。

3. 查找文件

1
2


find /home -name 'config.env'
find /var/www -type f -name '*.php'

find 适合按文件名、类型、时间、权限和所有者查找文件。学习时应先控制搜索范围，避免在生产系统上执行耗时过大的全盘搜索。

4. 查看文件属性

1
2


stat app.py
ls -la /etc/nginx/nginx.conf

stat 会显示文件大小、权限、所有者、组、创建和修改时间。应急响应中，文件修改时间常常是判断是否被篡改的重要线索。

七、进程与运行身份

服务以哪个用户运行，是 Linux 安全中的重要问题。Web 服务通常不应直接以 root 身份长时间运行，而应由低权限用户处理请求，例如 www-data。

查看进程：

1
2


ps aux | grep nginx
ps -ef | grep java

查看端口和进程对应关系：

1
2


sudo ss -tulnp
sudo lsof -i :80

查看某个进程详细信息：

1
2
3


ps -p 1234 -o pid,user,comm,args
ls -l /proc/1234/exe
cat /proc/1234/status

应急响应中，如果发现未知进程，应记录 PID、用户、启动参数、可执行文件路径、网络连接、文件修改时间和父进程关系。不要先删除现场证据，应优先保存、复制和备份相关数据。

八、用户权限与安全设计

1. 最小权限原则

最小权限原则意味着：一个用户、进程或服务只拥有完成任务所需的最低权限。例如：

1
2
3
4


Web 服务只需要读取 Web 文件和写入临时上传目录
普通用户不应拥有随意修改系统配置的权限
自动化脚本不应默认使用 root 长期运行
数据库连接账号不应拥有全局管理权限

2. sudo 的正确使用

普通用户需要临时执行管理命令时，可以加入 sudoers 并按需使用 sudo：

1
2


sudo ls /root
sudo systemctl status nginx

安全配置要避免不必要的：

1
2
3


NOPASSWD
ALL=(ALL) ALL 过度授权
root 权限脚本对任意用户开放

3. 敏感文件权限

私钥和配置应限制访问：

1
2


chmod 600 ~/.ssh/id_rsa
chown ubuntu:ubuntu ~/.ssh/id_rsa

数据库密码、API Token、JWT Secret 等不应放在公开可读的配置文件或 Git 仓库中。

九、文件系统层面的安全排查思路

当怀疑服务器被入侵或配置被篡改时，Linux 文件系统可以提供很多线索。

1. 查看最近修改的文件

1
2
3


find /var/www -type f -mtime -1
find /etc -type f -mtime -1
find /tmp -type f -mtime -1

注意：这个命令只适合在授权环境中使用，且不要假设结果一定代表攻击。系统更新、正常发布、定时任务和日志轮转也会产生新文件。

2. 检查 Web 目录异常文件

1

find /var/www -type f \( -name '*.php' -o -name '*.jsp' -o -name '*.jsp.tmp' \) -mtime -7

如果 Web 根目录突然出现非业务人员创建、无法解释来源、权限异常的可执行脚本，需要保留证据并进入应急响应流程。

3. 检查 SUID 和 SGID 文件

1
2


find / -perm -4000 -type f 2>/dev/null
find / -perm -2000 -type f 2>/dev/null

SUID 文件执行时会以文件所有者身份运行，是合法提权排查和攻击者横向移动中都可能关注的点。检查时应确认文件是否为系统正常文件、版本是否可信、权限是否符合预期。

4. 检查用户增加和异常账户

1
2
3


getent passwd
grep 'uid=0' /etc/passwd
last -n 50

新增 UID=0 账户、异常 shell、异常登录记录，都是需要结合上下文分析的高优先级线索。

十、和 Web 安全的联系

理解 Linux 权限后，很多 Web 安全问题更容易解释：

1
2
3
4
5


文件上传漏洞是否危险，要看上传目录能否被执行
WebShell 是否被触发，要看 Web 服务身份和目录权限
SQL 注入后能否读文件，要看应用和数据库账号权限
上传配置被改后为什么服务重启，要看 Web 服务运行身份和部署方式
日志为什么被删，要看操作者权限和日志轮转机制

所以 Web 安全不能只停留在浏览器和参数层，最终还要理解服务器如何接收请求、以什么身份执行代码、把数据写到哪里、把日志记录到哪里。

十一、小结

Linux 基础的核心不是背命令，而是理解身份、权限、资源和证据。安全人员需要知道当前是谁、以什么权限访问了什么、文件归谁所有、进程以谁的身份运行、日志在哪里。

下一阶段可以进入 Web 安全主题，例如 SQL 注入和 XSS。但在学习漏洞原理前，先理解 Linux 用户和权限，会让你更容易看懂真实环境中的影响边界：一个漏洞到底能影响网页展示，还是能读取敏感数据，甚至影响服务器安全。