一、文件传输类
| 端口 | 服务 | 红队渗透点 |
|---|---|---|
| 21 | FTP | 匿名登录、弱口令爆破、目录遍历、上传后门、嗅探 |
| 873 | Rsync | 匿名访问、弱口令、未授权拉取 / 上传源码、配置文件 |
二、Web/HTTPS 通用类
| 端口 | 服务 | 红队渗透点 |
|---|---|---|
| 80 | HTTP | 常规 Web 漏洞（SQL 注入、XSS、文件上传、后台泄露）、目录扫描、CMS 漏洞、管理后台爆破 |
| 443 | HTTPS | OpenSSL 心脏滴血、SSL 漏洞、同 80 Web 漏洞、证书信息搜集 |
| 8000–9090 | 非标 Web 端口 | 运维常把后台、运维面板、业务系统挂在这段，批量端口扫描 + 路径爆破 |
三、主机 / 虚拟主机控制面板（建站面板，重点打点）
| 端口 | 面板系统 | 红队渗透点 |
|---|---|---|
| 2082/2083 | cPanel | 国外主机面板、弱口令爆破、后台漏洞 |
| 2222 | DA DirectAdmin | 国外虚拟主机面板、默认口令、后台越权 |
| 3311/3312 | Kangle | 国内常用主机面板、默认账号密码、后台 getshell |
| 7778 | Kloxo | 国外开源主机面板、默认口令、未授权 / 后台漏洞 |
| 8080 | Tomcat / WDCP | Tomcat 弱口令 + 部署 war 后门；WDCP 默认admin/wdlinux.cn |
| 8083 | VestaCP | 国外轻量主机面板、弱口令、接口未授权 |
| 8888 | AMH / 宝塔 LuManager | 国内建站面板、默认端口、弱口令、面板漏洞 |
| 10000 | Virtualmin/Webmin | Linux 服务器全能管理面板、默认口令、远程命令执行、历史高危漏洞 |
四、中间件 / Java 应用高危端口
| 端口 | 服务 | 红队渗透点 |
|---|---|---|
| 7001 | WebLogic | 默认弱口令、反序列化漏洞、T3 协议漏洞、直接拿服务器权限 |
| 8089 | JBoss | 历史远程代码执行、未授权访问、弱口令后台 |
| 4440 | Rundeck | 运维自动化平台、未授权 / 弱口令、命令执行、漫游内网 |
五、缓存 / 数据库 无认证高危端口（红队重点）
| 端口 | 服务 | 红队渗透点 |
|---|---|---|
| 6379 | Redis | 无认证直接连、写 Webshell、写入定时任务反弹 shell、主从复制拿权限 |
| 11211 | Memcached | 未授权访问、缓存泄露、反射放大 DDoS、信息搜集 |
| 27017 | MongoDB | 无授权直接连、拖库、删库、写入恶意数据 |
| 28017 | MongoDB 统计页 | 信息泄露、数据库结构泄露、辅助拖库 |
六、路由 / 网络设备 & 代理服务
| 端口 | 服务 | 红队渗透点 |
|---|---|---|
| 2601/2604 | Zebra 路由 | 默认密码zebra、路由配置泄露、篡改路由流量 |
| 3128 | Squid 代理 | 无口令直接做正向代理、漫游内网、扫描内网资产、隐藏攻击流量 |
| 6082 | Varnish | 缓存服务 CLI 未授权、篡改网站页面、当做代理穿透内网 |
| 1900 | SSDP/BES | 默认后台、内网设备发现、UPnP 漏洞、内网横向入口 |
七、大数据 / 搜索引擎 / 企业服务高危端口
| 端口 | 服务 | 红队渗透点 |
|---|---|---|
| 9200 | Elasticsearch | 未授权访问、命令执行、写入漏洞、批量拖库 |
| 8649 | Ganglia | 集群监控、信息泄露、服务器架构 / 版本 / 配置全泄露 |
| 50000 | SAP | 企业 ERP、默认漏洞、远程命令执行、内网核心业务打点 |
| 50030/50070 | Hadoop | 大数据集群、未授权命令执行、上传恶意任务、控制集群 |