文章总结： 本文整理了黑客最常攻击的100个网络危险端口，按风险等级分为经典后门与远程控制类、Web服务与漏洞高发类、文件传输与共享类等类别，并提供了三种封禁方法：防火墙层封禁、服务层关闭和配置层加固。文章包含针对iptables、firewalld和ufw的详细操作命令，以及一键封禁100个高危端口的自动化脚本，帮助系统管理员有效防范端口攻击。
综合评分： 85
文章分类： 网络安全,漏洞预警,安全建设,安全工具,终端安全
服务器被黑？黑客最爱攻击这100个端口！（附一键封禁脚本）
原创
阿然
释然IT杂谈
2025年12月5日 08:08
上海
100个网络危险端口整理
说明：
- 端口号：网络服务的逻辑入口。
- 服务/协议：通常使用该端口的应用程序或协议。
- 风险描述：该端口开放可能带来的主要安全威胁。
- 封禁必要性：在绝大多数情况下，除非业务明确需要，否则应立即封禁这些端口。
一、经典后门与远程控制类
这些端口常被木马、后门和远程管理软件利用。
| 端口 | 服务/协议 | 风险描述 | 危险等级 |
| — | — | — | — |
| 22 | SSH | 弱密码、暴力破解的重灾区 | ⚠️ 高危 |
| 23 | Telnet | 明文传输，极易被嗅探密码 | 🔴 极危 |
| 135 | RPC | Windows RPC服务，常被用于漏洞利用 | ⚠️ 高危 |
| 139, 445 | SMB | 永恒之蓝等重大漏洞的源头，用于共享和AD | 🔴 极危 |
| 1433, 1434 | MSSQL | 常被暴力破解，提权漏洞多发 | ⚠️ 高危 |
| 3389 | RDP | 远程桌面，暴力破解主要目标 | 🔴 极危 |
| 4899 | Radmin | 远程控制软件，配置不当或版本过旧有风险 | ⚠️ 高危 |
| 5631, 5632 | PCAnywhere | 老牌远程控制，存在已知漏洞 | ⚠️ 高危 |
| 5900+ | VNC | 图形化远程控制，弱认证问题普遍 | ⚠️ 高危 |
| 6129 | DameWare | 远程管理工具，默认端口易被扫描利用 | ⚠️ 高危 |
二、Web服务与漏洞高发类
Web应用的入口，也是攻击的主要面。
| 端口 | 服务/协议 | 风险描述 | 危险等级 |
| — | — | — | — |
| 21 | FTP | 明文传输密码和数据，漏洞多 | 🔴 极危 |
| 80 | HTTP | 明文传输，可被劫持、嗅探 | ⚠️ 中危 |
| 443 | HTTPS | 加密传输，但Web应用本身的漏洞（如SQLi、XSS）仍存在 | ⚠️ 中危 |
| 8000, 8080, 8443 | HTTP/HTTPS Alt | 常见的Web应用替代端口，风险同80/443 | ⚠️ 中危 |
| 7001, 7002 | WebLogic | Java应用服务器，历史漏洞多且危害大 | 🔴 极危 |
| 9090 | WebSM | WebSphere管理等，存在未授权访问风险 | ⚠️ 高危 |
三、文件传输与共享类
易导致数据泄露和恶意软件传播。
| 端口 | 服务/协议 | 风险描述 | 危险等级 |
| — | — | — | — |
| 20 | FTP Data | FTP的数据连接端口 | 🔴 极危 |
| 69 | TFTP | 简单文件传输，无认证，可任意上传下载 | 🔴 极危 |
| 2049 | NFS | 网络文件系统，配置不当可导致未授权访问 | ⚠️ 高危 |
| 873 | Rsync | 配置不当可导致未授权访问和文件泄露 | ⚠️ 高危 |
四、邮件服务类
钓鱼、垃圾邮件和漏洞利用的通道。
| 端口 | 服务/协议 | 风险描述 | 危险等级 |
| — | — | — | — |
| 25 | SMTP | 发送邮件，常被用来转发垃圾邮件 | ⚠️ 中危 |
| 110 | POP3 | 收取邮件，明文传输密码和数据 | ⚠️ 高危 |
| 143 | IMAP | 管理邮件，明文传输 | ⚠️ 高危 |
| 993, 995 | IMAPS/POP3S | 加密版本，相对安全，但服务本身可能有漏洞 | ⚠️ 低危 |
五、数据库服务类
承载核心数据，是攻击者的终极目标之一。
| 端口 | 服务/协议 | 风险描述 | 危险等级 |
| — | — | — | — |
| 1521 | Oracle DB | 强大的数据库，配置复杂，漏洞影响大 | 🔴 极危 |
| 3306 | MySQL | 流行数据库，常被暴力破解 | 🔴 极危 |
| 5432 | PostgreSQL | 功能强大的开源数据库，也有安全风险 | ⚠️ 高危 |
| 27017, 27018 | MongoDB | 曾因默认无认证导致大量数据泄露 | 🔴 极危 |
| 6379 | Redis | 默认无认证，可被轻易获取权限 | 🔴 极危 |
六、网络基础服务与易受攻击类
本身是正常服务，但常被错误配置或利用。
| 端口 | 服务/协议 | 风险描述 | 危险等级 |
| — | — | — | — |
| 53 | DNS | 可被用于DNS隧道、DDoS放大攻击 | ⚠️ 中危 |
| 161, 162 | SNMP | 默认团体名public/private，泄露网络设备信息 | ⚠️ 高危 |
| 389, 636 | LDAP/LDAPS | 目录服务，信息泄露和注入漏洞 | ⚠️ 高危 |
| 111 | RPC | 远程过程调用，可被用于信息收集和攻击 | ⚠️ 高危 |
| 512, 513, 514 | rexec, rlogin, rsh | 明文传输的远程执行服务 | 🔴 极危 |
七、木马与后门常用端口（部分列表）
这些端口历史上被特定木马广泛使用，是安全扫描的重点对象。
| 端口 | 通常关联的恶意软件 | 危险等级 |
| — | — | — |
| 1243, 6711, 6776 | SubSeven | 🔴 极危 |
| 1999 | BackDoor | 🔴 极危 |
| 2583 | WinCrash | 🔴 极危 |
| 3700 | Portal of Doom | 🔴 极危 |
| 4950, 4951 | ICQ Trojan | 🔴 极危 |
| 5554 | Sasser | 🔴 极危 |
| 12345, 12346, 20034 | NetBus | 🔴 极危 |
| 31337 | Back Orifice, Elite | 🔴 极危 |
| 54321 | PCAnywhere后门 | 🔴 极危 |
| 65000 | Devil | 🔴 极危 |
八、完整端口清单（共100个）
完整列表：
22, 23, 25, 53, 69, 79, 80, 110, 111, 113, 119,
135, 137, 138, 139, 143, 161, 162, 389, 443, 445,
512, 513, 514, 515, 993, 995, 1080, 1433, 1434,
1521, 1723, 1900, 2049, 2301, 2375, 2376, 2389, 3000,
3128, 3306, 3389, 4444, 4505, 4506, 4789, 4800, 4899,
4900, 5000, 5432, 5631, 5632, 5800, 5900, 5901, 5984,
5985, 5986, 6379, 7001, 7002, 8000, 8008, 8009, 8080,
8081, 8090, 8180, 8443, 8686, 9000, 9042, 9080, 9090,
9092, 9200, 9300, 9418, 11211, 15672, 25565,
27017, 27018, 28015, 28017, 50000, 50030, 50060,
50070, 60010, 60030
Linux系统封禁操作前准备工作
必须完成的检查：
-
确认当前业务对哪些端口有依赖
-
备份现有防火墙规则
-
准备回退方案
-
在测试环境先验证
检查当前开放端口：
# 查看所有监听端口
ss -tulnp | grep LISTEN
# 检查特定高危端口
ss -tulnp | grep -E ':(23|135|445|3389|6379)'
# 扫描本机开放端口
nmap -sT 127.0.0.1
方法一：防火墙层封禁（推荐）
1. iptables方式（CentOS 6/7及传统系统）
单端口封禁：
# 封禁Telnet端口
iptables -A INPUT -p tcp --dport 23 -j DROP
iptables -A INPUT -p udp --dport 23 -j DROP
# 保存规则
service iptables save
批量封禁脚本：
#!/bin/bash
# 高危端口批量封禁脚本
DANGER_PORTS="23 69 135 139 445 1433 3389 4899 5631 5900 6379 27017"
echo"开始封禁高危端口..."
for port in$DANGER_PORTS; do
iptables -A INPUT -p tcp --dport $port -j DROP
iptables -A INPUT -p udp --dport $port -j DROP
echo"已封禁端口: $port"
done
# 保存规则
service iptables save
echo"封禁完成！"
仅允许特定IP访问（白名单）：
# MySQL仅允许内网访问
iptables -A INPUT -p tcp --dport 3306 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -j DROP
验证规则：
# 查看所有规则
iptables -L -n --line-numbers
# 查看封禁的端口
iptables -L INPUT -n | grep DROP
2. firewalld方式（CentOS 7+/RHEL 8+/Fedora）
单端口封禁：
# 移除Telnet端口
firewall-cmd --permanent --remove-port=23/tcp
firewall-cmd --permanent --remove-port=23/udp
# 重载规则
firewall-cmd --reload
批量封禁脚本：
#!/bin/bash
DANGER_PORTS="23 69 135 139 445 1433 3389 4899 5631 5900 6379"
for port in$DANGER_PORTS; do
firewall-cmd --permanent --remove-port=${port}/tcp
firewall-cmd --permanent --remove-port=${port}/udp
done
firewall-cmd --reload
echo"端口封禁完成！"
限制访问源：
# SSH仅允许指定IP访问
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="22" protocol="tcp" accept'
firewall-cmd --permanent --remove-service=ssh
firewall-cmd --reload
验证配置：
# 查看所有规则
firewall-cmd --list-all
# 查看已移除的端口
firewall-cmd --list-ports
3. ufw方式（Ubuntu/Debian系）
单端口封禁：
# 拒绝Telnet
ufw deny 23/tcp
ufw deny 23/udp
批量封禁：
#!/bin/bash
PORTS="23 69 135 139 445 3389 5900 6379"
for port in$PORTS; do
ufw deny ${port}/tcp
ufw deny ${port}/udp
done
ufw reload
限制访问源：
# SSH仅允许内网访问
ufw allow from 192.168.1.0/24 to any port 22
ufw deny 22/tcp
启用防火墙：
ufw enable
ufw status numbered
方法二：服务层关闭（彻底方式）
停止并禁用危险服务
| 服务 | 停止命令 | 禁用开机启动 | 关联端口 |
| — | — | — | — |
| Telnet | systemctl stop telnet.socket | systemctl disable telnet.socket | 23 |
| FTP | systemctl stop vsftpd | systemctl disable vsftpd | 21, 20 |
| TFTP | systemctl stop tftp | systemctl disable tftp | 69 |
| Samba | systemctl stop smb nmb | systemctl disable smb nmb | 139, 445 |
| NFS | systemctl stop nfs-server | systemctl disable nfs-server | 2049 |
| RPC | systemctl stop rpcbind | systemctl disable rpcbind | 111 |
批量停止脚本：
#!/bin/bash
SERVICES="telnet vsftpd tftp smb nmb nfs-server rpcbind"
for svc in$SERVICES; do
systemctl stop $svc 2>/dev/null
systemctl disable$svc 2>/dev/null
echo"已停止服务: $svc"
done
卸载不必要的服务
CentOS/RHEL系：
yum remove telnet-server -y
yum remove vsftpd -y
yum remove tftp-server -y
yum remove samba -y
yum remove nfs-utils -y
Ubuntu/Debian系：
apt remove telnetd -y
apt remove vsftpd -y
apt remove tftpd-hpa -y
apt remove samba -y
apt remove nfs-kernel-server -y
方法三：配置层加固（针对必需服务）
1. SSH端口更改（端口22）
# 编辑配置文件
vi /etc/ssh/sshd_config
# 修改端口
Port 22222
# 禁用root登录
PermitRootLogin no
# 仅允许密钥认证
PasswordAuthentication no
# 重启服务
systemctl restart sshd
# 防火墙放行新端口
firewall-cmd --permanent --add-port=22222/tcp
firewall-cmd --permanent --remove-service=ssh
firewall-cmd --reload
2. MySQL限制监听地址（端口3306）
# 编辑配置
vi /etc/my.cnf
# 添加配置
[mysqld]
bind-address = 127.0.0.1
skip-networking
# 重启服务
systemctl restart mysqld
3. Redis设置密码并绑定IP（端口6379）
# 编辑配置
vi /etc/redis.conf
# 修改配置
bind 127.0.0.1
requirepass 复杂密码!@#123
protected-mode yes
# 重启服务
systemctl restart redis
4. MongoDB启用认证（端口27017）
# 编辑配置
vi /etc/mongod.conf
# 添加配置
net:
bindIp: 127.0.0.1
security:
authorization: enabled
# 重启服务
systemctl restart mongod
一键封禁100个高危端口脚本
完整自动化脚本：
#!/bin/bash
# Linux高危端口一键封禁脚本
# 适用于CentOS 7+/RHEL 8+（firewalld）
# 100个高危端口列表
ALL_DANGER_PORTS="23 25 69 79 110 111 113 119 135 137 138 139 161 162 512 513 514 515 1080 1433 1434 1521 1723 1900 2049 2301 2375 2376 2389 3000 3128 3389 4444 4505 4506 4789 4800 4899 4900 5000 5631 5632 5800 5900 5901 5984 5985 5986 7001 7002 8008 8009 8090 8180 8686 9042 9080 9092 9300 9418 11211 15672 25565 27018 28015 28017 50000 50030 50060 50070 60010 60030"
# 需要保留但限制访问的端口（根据实际业务调整）
KEEP_PORTS="22 80 443 3306 6379 27017"
echo"========================================="
echo"Linux高危端口封禁脚本"
echo"========================================="
# 检查防火墙类型
if systemctl is-active --quiet firewalld; then
FW_TYPE="firewalld"
elif systemctl is-active --quiet iptables; then
FW_TYPE="iptables"
elifcommand -v ufw &> /dev/null; then
FW_TYPE="ufw"
else
echo"错误：未检测到防火墙服务！"
exit 1
fi
echo"检测到防火墙类型: $FW_TYPE"
# 封禁端口
echo"开始封禁高危端口..."
for port in$ALL_DANGER_PORTS; do
case$FW_TYPEin
firewalld)
firewall-cmd --permanent --remove-port=${port}/tcp 2>/dev/null
firewall-cmd --permanent --remove-port=${port}/udp 2>/dev/null
;;
iptables)
iptables -A INPUT -p tcp --dport $port -j DROP
iptables -A INPUT -p udp --dport $port -j DROP
;;
ufw)
ufw deny ${port}/tcp 2>/dev/null
ufw deny ${port}/udp 2>/dev/null
;;
esac
echo"已封禁端口: $port"
done
# 重载防火墙
case$FW_TYPEin
firewalld)
firewall-cmd --reload
;;
iptables)
service iptables save
;;
ufw)
ufw reload
;;
esac
echo"========================================="
echo"封禁完成！"
echo"========================================="
# 验证结果
echo"当前监听端口："
ss -tulnp | grep LISTEN
echo""
echo"建议："
echo"1. 检查业务是否正常"
echo"2. 对保留端口设置访问源限制"
echo"3. 定期扫描验证端口状态"
使用方法：
# 赋予执行权限
chmod +x block_danger_ports.sh
# 执行脚本
./block_danger_ports.sh
验证与测试
内部验证
# 检查监听端口
ss -tulnp | grep LISTEN
# 检查防火墙规则
iptables -L -n | grep DROP
firewall-cmd --list-all
ufw status
# 检查是否还有高危端口开放
ss -tulnp | grep -E ':(23|69|445|3389|6379)'
外部扫描
# 从其他机器扫描本机
nmap -sT 目标IP
# 扫描特定端口
nmap -sT 目标IP -p 23,445,3389,6379
# 扫描前100个端口
nmap -sT 目标IP --top-ports 100
#
- EOF –
另外我给大家整理了一些技术资料有需要直接下载即可
链接：https://pan.quark.cn/s/7063628fb0be
需要什么资料也可在评论区留言
或者添加小编咨询
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：释然IT杂谈 阿然《服务器被黑？黑客最爱攻击这100个端口！（附一键封禁脚本）》