# 常见端口与服务安全检查表（渗透/等保/代码评审通用） > 用途：资产测绘、端口扫描结果快速研判、漏洞风险识别、加固检查；包含端口、服务、典型风险、核查项、加固建议 ## 说明 - 风险等级：严重/高危/中危/低危 - 检查逻辑：开放 → 是否必要开放 → 鉴权是否安全 → 是否存在漏洞 → 是否有访问控制 |端口|协议|服务名称|典型风险等级|安全风险说明|现场核查项|加固建议| |---|---|---|---|---|---|---| |21|TCP|FTP|中危|明文传输；弱口令；匿名登录；目录遍历；可上传文件|1.是否允许匿名登录
2.账号是否弱口令
3.是否允许上传|1.禁用匿名FTP
2.优先替换为SFTP(22)
3.白名单限制源IP
4.禁止可写目录| |22|TCP|SSH|高危|暴力破解；密钥泄露；弱口令；旧版本OpenSSH漏洞|1.密码登录是否开启
2.是否存在弱口令
3.是否使用密钥认证
4.版本是否老旧|1.推荐密钥登录，关闭密码认证
2.登录失败锁定
3.限制源IP白名单
4.升级OpenSSH| |23|TCP|Telnet|严重|**明文传输账号密码，无加密**，极易抓包窃取凭据|是否业务必须使用|**直接关闭，替换为SSH**| |25|TCP|SMTP邮件发送|中危|邮件中继滥用；暴力破解；垃圾邮件发送|是否开放未认证中继|1.关闭开放中继
2.启用认证
3.限制发送源| |53|UDP/TCP|DNS|中危|DNS放大攻击；区域传送泄露内网域名；域名隧道C2|1.是否允许AXFR区域传送
2.是否递归解析对外|1.禁止外网递归
2.关闭区域传送
3.内网DNS不对外暴露| |80|TCP|HTTP|高危|Web漏洞：SQL注入、XSS、文件上传、目录遍历、信息泄露|1.是否强制跳转HTTPS
2.是否存在Web漏洞
3.版本/路径泄露|1.全站HTTPS
2.部署WAF
3.隐藏中间件版本| |443|TCP|HTTPS/TLS|中高危|TLS版本老旧（TLS1.0/1.1）；弱加密套件；证书泄露；Web漏洞|1.TLS版本与加密套件
2.证书有效期
3.证书算法|1.禁用TLS1.0/1.1
2.使用AES-GCM、ECC证书
3.证书定期轮换| |135|TCP|RPC|高危|Windows RPC，内网横向入口；RPC漏洞（如MS17-010相关依赖）|外网是否开放|**禁止对公网开放，内网最小访问控制**| |139/445|TCP|SMB文件共享|严重|永恒之蓝、SMB远程代码执行；哈希传递；共享泄露；IPC$匿名访问|1.是否允许匿名访问
2.共享权限过大
3.系统版本老旧|1.公网直接关闭445/139
2.内网限制IP访问
3.关闭不必要共享，打补丁| |1433|TCP|MSSQL数据库|严重|弱口令；SA账号滥用；存储过程提权；注入|1.sa账号弱口令
2.是否允许xp_cmdshell
3.外网开放|1.禁止公网暴露数据库
2.禁用xp_cmdshell
3.强密码+IP白名单| |1521|TCP|Oracle数据库|高危|弱口令；默认账号；数据库漏洞；审计缺失|默认账号是否修改；权限过大|1.不对外网开放
2.清理默认账户
3.启用审计| |3306|TCP|MySQL/MariaDB|高危|root弱口令；任意IP访问；注入；文件读取|1.root是否允许%任意地址登录
2.弱口令
3.数据库版本漏洞|1.禁止公网开放
2.数据库账号最小权限
3.限制访问源IP| |3389|TCP|RDP远程桌面|高危|暴力破解；凭据重用；BlueKeep等RCE漏洞；会话劫持|1.是否允许空密码/弱口令
2.外网直接开放
3.旧系统（2003/2008）|1.公网不直接暴露，使用VPN跳板
2.开启登录锁定、NLA
3.打系统补丁| |5432|TCP|PostgreSQL|高危|弱口令；默认账号；高权限|是否公网开放、弱口令|禁止公网暴露；IP白名单；强密码| |5900~5906|TCP|VNC|严重|很多默认无密码；弱口令；明文传输|是否有密码保护；是否外网开放|1.禁止公网开放
2.强密码+加密| |5985/5986|TCP|WinRM|高危|PowerShell远程，内网横向移动常用；凭据喷洒|外网是否开放；是否启用基础认证|公网禁止开放；内网IP白名单；禁用基础认证| |6379|TCP|Redis|严重|默认无密码；可写配置，写webshell、写crontab拿权限；未授权访问|1.是否设置密码
2.是否允许任意IP访问
3.是否开启RDB/AOF文件写入|1.设置强密码
2.禁止公网开放
3.禁用危险命令（config、flushall）| |8080|TCP|Tomcat/HTTP代理/Web|高危|Tomcat弱口令、后台部署war上传；SpringBoot未授权；Web漏洞|1.管理后台是否无认证
2.版本泄露
3.是否外网暴露|1.管理后台IP白名单
2.删除默认样例页面
3.强密码| |8081/8088/8090|TCP|Web管理后台|高危|各类业务后台、运维面板；弱口令、未授权访问|后台是否直接公网暴露|VPN访问；MFA二次认证；强口令策略| |9200/9300|TCP|Elasticsearch|严重|未授权访问，可读取所有数据、执行命令；信息泄露|是否无鉴权、公网开放|1.添加账号密码
2.禁止公网开放
3.关闭动态脚本| |11211|UDP/TCP|Memcached|严重|未授权访问；反射DDoS放大攻击|是否公网开放、无认证|1.禁用外网访问
2.启用认证
3.关闭UDP端口| |27017|TCP|MongoDB|高危|默认无鉴权；数据泄露；注入|是否开启认证，公网开放|1.开启身份认证
2.禁止公网暴露
3.限制源IP| ## 二、通用端口安全核查总规则（拿到扫描结果必做） 1. **最小开放原则**：非业务必需端口，一律关闭。 2. **数据库、Redis、Mongo、SMB、RDP、WinRM** 禁止直接对公网暴露，必须走VPN/跳板。 3. 所有管理类端口：优先**IP白名单**，增加MFA二次认证。 4. 禁止保留默认账号、默认密码、匿名访问。 5. 老旧版本中间件/系统优先打补丁（高危漏洞高发）。 6. 业务端口：开启日志审计，接入SOC告警。 ## 三、快速研判口诀（红队/蓝队快速判断） > 公网看到 **23,445,135,6379,9200,11211** → 重点高危，优先核查 > 公网数据库端口（1433/3306/27017）基本属于严重配置缺陷 ## 四、端口扫描结果输出字段（写报告直接用） IP｜端口｜协议｜服务｜版本｜风险等级｜是否必要开放｜风险描述｜加固建议 ## 五、补充核查项 - [ ] 端口是否监听 `0.0.0.0`（全网可访问）还是 `127.0.0.1`（仅本机） - [ ] 防火墙策略：是否做源IP限制 - [ ] 服务账号权限：是否以高权限运行（root/administrator） - [ ] 日志：是否记录登录、访问行为 如果你需要，我可以导出为Excel表格版，或者精简成一页速查卡片（只保留端口+风险+一句话加固）。