端口扫描（Port scanning）是网络安全领域的基础概念之一。简单来说，端口扫描是向目标主机的一组端口发送探测包，并根据目标对这些探测包的响应判断端口是否开放、哪些服务在运行、以及这些服务可能的状态与版本等信息。它既是安全管理员做资产清点和漏洞评估的常用手段，也常被攻击者用于侦察目标。
什么是端口？
端口（Port） 是计算机网络通信中的逻辑接口，用于区分同一台设备上运行的不同网络服务或进程。可以把一台电脑或服务器比作一栋大楼，IP地址就像这栋大楼的“门牌号”，而端口号就像“房间号”。当外部设备想访问特定的服务（比如网页或邮件）时，必须找到正确的“房间号”。
当一台服务器运行多个服务时，端口号帮助区分不同类型的通信，保证网络数据准确送达对应的程序。
什么是端口扫描？
端口扫描是一种探测技术，用于识别目标主机上哪些端口是“开放的”、“关闭的”或“被防火墙过滤的”。它通过向目标设备的不同端口发送网络请求（探测包），并分析对方的响应来判断这些端口的状态。
换句话说，端口扫描就像“逐个敲门”，看哪些门有人应答，从而推测主机上有哪些服务在运行。
扫描方法多样，每种方法在效率、检测概率与信息量上权衡不同。常见的端口扫描类型包括：
-
TCP SYN（半开放扫描）：发送 SYN，观察是否有 SYN/ACK（表示开放）或 RST（表示关闭）。速度快，检测难度相对低。
-
TCP Connect：完成三次握手建立完整连接，最直接但最容易被日志记录。
-
UDP 扫描：UDP 无连接，需要靠 ICMP 不可达或应用层回应判断，通常更慢且更难准确判定。
-
FIN / Xmas / Null 扫描：通过发送异常或带特殊标志的 TCP 包以规避某些防火墙/IDS 的检测；对不同系统的响应机制不同，因此有时能“躲过”简单检测。
这些扫描技巧与设备（防火墙、IDS）的响应行为密切相关，因此扫描者会根据目标环境选择合适方法。
端口扫描的用途
端口扫描本质上是信息收集工具，常见用途有两类：
-
防御/合规用途（合法）：安全团队用它来盘点公开服务、发现意外开放的端口、评估攻击面并修补漏洞——例如在渗透测试、资产管理、合规扫描中非常常见。
-
恶意用途：攻击者先做端口扫描以识别可攻击的服务（如过时的 FTP、未打补丁的远程管理端口等），然后针对性发起利用或入侵。
因此，端口扫描本身并不是“攻击”，但它常是攻击链的第一步，能显著提升后续入侵成功率。
常用端口扫描工具
-
Nmap：功能强大的命令行扫描器，支持多种扫描类型、服务/版本识别与脚本扩展（最常用）。
-
商业漏洞扫描与资产管理工具：在企业级环境中常与补丁管理、CMDB 集成使用。
如何阻止端口扫描？
端口扫描往往是网络攻击的第一步。网络攻击者通过扫描可以获知目标设备哪些端口是开放的、哪些服务正在运行、哪个服务版本或操作系统正在使用。这些信息帮助网络攻击者判断哪里有漏洞可利用、哪台服务器更容易突破。
为了阻止端口扫描攻击，可以采用多层次措施来检测与减缓端口扫描带来的风险：
-
部署防火墙和包过滤策略：仅开放必要端口，使用白名单规则限制访问源。
-
入侵检测/防御系统（IDS/IPS）：监测异常扫描流量、发现短时间内对大量端口的探测行为并阻断或告警。
-
速率限制与连接限制：对来自同一源的连接尝试应用节流，降低扫面器效率。
-
端口敲门或零信任访问控制：只有在先完成特定“敲门”序列或通过认证后，才暴露管理端口。
-
诱捕与蜜罐：对可疑扫描引流以收集情报并延缓攻击。
-
日志与监控：收集网络与主机日志，结合 SIEM 做长期态势分析与告警。
端口扫描保护功能
在指纹浏览器或一些隐私浏览器中，用户可以通过浏览器配置文件开启端口扫描保护功能。
功能原理
-
浏览器会阻止网站或网页通过 JavaScript、WebRTC 或其他网络手段探测本机开放端口。
-
网站通常用端口探测来判断设备环境或运行的服务，而开启该功能后，浏览器会返回“端口关闭”或不响应，从而隐藏用户真实端口状态。
白名单机制
-
虽然默认会阻止所有端口被扫描，但指纹浏览器通常允许用户将特定端口列入白名单。
-
白名单端口可以被网站或特定应用正常探测，以保证必要服务（如 WebRTC、特定插件或本地服务器通信）不受阻断。
使用场景
-
保护隐私：防止网站收集过多本机信息，包括端口开放情况、远程服务信息等。
-
防止账号风控或封禁：一些平台可能通过端口探测判断用户是否使用 VPS/远程主机，开启端口保护可降低被误判的风险。
-
灵活控制：白名单机制允许用户在保护隐私的同时，不影响必要功能。
端口扫描保护功能相当于给浏览器加了一层“隐形屏障”，阻止网站探测端口，同时提供白名单选项来兼顾特定应用场景。这是指纹浏览器中常用的隐私防护措施之一，与浏览器指纹管理、代理管理、WebRTC 泄露防护等功能配合使用，可以大幅提升匿名性和安全性。